Fastjson远程代码执行缝隙公告
颁布功夫 2020-05-290x00 缝隙概述
|
CVE ID |
暂无 |
时 间 |
2020-05-29 |
|
类 型 |
RCE |
等 级 |
高危 |
|
远程利用 |
是 |
影响领域 |
Fastjson <= 1.2.68 |
0x01 缝隙详情
Fastjson是阿里巴巴的开源JSON解析库，，，，，，，，它能够解析JSON体式的字符串，，，，，，，，支持将Java Bean序列化为JSON字符串，，，，，，，，也能够从JSON字符串反序列化到JavaBean。。。。。
2020年5月28日，，，，，，，，Github颁布了有关Fastjson <= 1.2.68版本存在远程代码执行缝隙的布告，，，，，，，，该缝隙可绕过autoType开关的限度，，，，，，，，攻击者精心机关反序列化利用链，，，，，，，，实此刻指标机械上的远程代码执杏祝。。。。此缝隙自身无法绕过Fastjson的黑名单限度，，，，，，，，必要共同不在黑名单中的反序列化利用链能力实现缝隙利用。。。。。
Fastjson版本检测号令：
lsof | grep fastjson
0x02 措置建议
截止到目前，，，，，，，，官方还未颁布1.2.69版本，，，，，，，，建议宽大用户实时关注官方更新公告，，，，，，，，做好资产自查，，，，，，，，以免遭逢黑客攻击。。。。。
一时措施：
受影响用户可通过禁用autoType来躲避风险，，，，，，，，另表建议将JDK升级到最新版本。。。。。
由于autotype开关的限度可被绕过，，，，，，，，请受影响用户升级fastjson至1.2.68版本，，，，，，，，通过开启safeMode配置齐全禁用autoType。。。。。( 把稳：safeMode会齐全禁用autotype，，，，，，，，忽视白名单，，，，，，，，请把稳评估对业务影响)三种配置SafeMode的方式如下:
? 在代码中配置：
ParserConfig.getGlobalInstance().setSafeMode(true);
? 加上JVM启动参数：若是有多个包名前缀，，，，，，，，可用逗号隔开。。。。。
-Dfastjson.parser.safeMode=true
? 通过fastjson.properties文件配置：通过类蹊径的fastjson.properties文件来配置，，，，，，，，配置方式如下：
fastjson.parser.safeMode=true
0x03 参考链接
https://github.com/alibaba/fastjson/releases
https://github.com/alibaba/fastjson/wiki/fastjson_safemode
0x04 功夫线
2020-05-28 Github颁布缝隙布告
2020-05-29 VSRC颁布缝隙公告
京公网安备11010802024551号