Fastjson < 1.2.66远程代码执行漏洞预警

举报
华为云客户服务中心 发表于 2020/03/02 16:37:14 2020/03/02
【摘要】 Fastjson < 1.2.66远程代码执行漏洞预警

一、概要

近日,华为云关注到fastjson官方Git发布新版本公告,披露了在fastjson < 1.2.66版本中存在新的反序列化远程代码执行漏洞,攻击者利用新的Gadgets,可实现远程代码执行漏洞。

华为云提醒使用fastjson的用户及时安排自检并做好安全加固。

参考链接:

https://github.com/alibaba/fastjson/releases/tag/1.2.66

二、威胁级别

威胁级别:【严重】

(说明:威胁级别共四级:一般、重要、严重、紧急) 

三、漏洞影响范围

影响版本:

fastjson < 1.2.66

安全版本:

fastjson 1.2.66

四、漏洞处置

目前官方已在最新版本中修复了该漏洞,请受影响的用户升级至安全版本。

下载地址:https://repo1.maven.org/maven2/com/alibaba/fastjson/1.2.66/

漏洞的利用前提是开启了autoType功能(在1.2.5x版本以上autoType默认是关闭状态),若用户开启了autoType功能,可通过关闭该功能进行临时规避,具体操作请参考以下两种方法:

1、 在项目源码中找到以下行代码并将其删除。

ParserConfig.getGlobalInstance().setAutoTypeSupport(true);

2、 在JVM中启动项目时,命令行中不添加autoType参数。

-Dfastjson.parser.autoTypeSupport=true

注:修复漏洞前请将资料备份,并进行充分测试。


【版权声明】本文为华为云社区用户原创内容,未经允许不得转载,如需转载请自行联系原作者进行授权。如果您发现本社区中有涉嫌抄袭的内容,欢迎发送邮件进行举报,并提供相关证据,一经查实,本社区将立刻删除涉嫌侵权内容,举报邮箱: cloudbbs@huaweicloud.com
  • 点赞
  • 收藏
  • 关注作者

评论(0

0/1000
抱歉,系统识别当前为高风险访问,暂不支持该操作

全部回复

上滑加载中

设置昵称

在此一键设置昵称,即可参与社区互动!

*长度不超过10个汉字或20个英文字符,设置后3个月内不可修改。

*长度不超过10个汉字或20个英文字符,设置后3个月内不可修改。