Fastjson远程拒绝服务漏洞预警

一、概要

近日华为云安全团队关注到业界爆出Fastjson 1.2.60以下版本存在远程拒绝服务漏洞。由于Fastjson对特定JSON字符串解析异常攻击者可通过精心构造的请求包对使用Fastjson的服务器发起远程拒绝服务攻击可导致服务器CPU/RAM过载进而引起性能下降甚至服务器宕机。

参考链接

https://github.com/alibaba/fastjson/pull/2692

二、威胁级别

威胁级别【严重】

说明威胁级别共四级一般、重要、严重、紧急

三、影响范围

漏洞影响的产品版本包括

Fastjson < 1.2.60

Fastjson sec版本 < sec06

安全版本为

Fastjson >= 1.2.60

或Fastjson sec版本 >= sec06

四、处置方案

升级至Fastjson 安全版本下载地址http://repo1.maven.org/maven2/com/alibaba/fastjson/

华为云WAF已默认支持对该漏洞的检测用户开启Web基础防护拦截模式后即可实现防护。配置方法可参考

https://support.huaweicloud.com/usermanual-waf/waf_01_0008.html

注修复漏洞前请将资料备份并进行充分测试。