通告编号:NS-2020-0011
2020-02-21
TAG: | fastjson、Jackson-databind、远程代码执行 |
---|---|
危害等级: | 高,攻击者利用此漏洞,可造成远程代码执行。 |
应急等级: | 蓝色 |
版本: | 1.0 |
1
漏洞概述
2月19日,NVD发布的Jackson-databind JNDI注入漏洞(CVE-2020-8840),在jackson-databind中的反序列化gadget也同样影响了fastjson,经绿盟科技研究人员分析验证,在开启了autoType功能的情况下(autoType功能默认关闭),该漏洞影响最新的fastjson 1.2.62版本,攻击者利用该漏洞可实现在目标机器上的远程代码执行。
fastjson是阿里巴巴的开源JSON解析库,它可以解析JSON格式的字符串,支持将Java Bean序列化为JSON字符串,也可以从JSON字符串反序列化到JavaBean,由于具有执行效率高的特点,应用范围广泛。请相关用户尽快采取防护措施。
SEE MORE →
2影响范围
受影响版本
3漏洞防护
3.1 临时防护措施
官方暂未发布针对此漏洞的修复版本,开启了autoType功能的受影响用户可通过关闭autoType来规避风险(autoType功能默认关闭),另建议将JDK升级到最新版本。
autoType关闭方法如下:
方法一:
在项目源码中全文搜索如下代码,找到并将此行代码删除:
ParserConfig.getGlobalInstance().setAutoTypeSupport(true);
方法二:
在JVM中启动项目时,切勿添加以下参数:
-Dfastjson.parser.autoTypeSupport=true
请相关用户关注官方动态,在官方发布修复版本后及时升级进行防护。
3.2 产品防护
绿盟科技Web应用防护系统的历史防护规则(27004852)已具备对此漏洞的防护能力,请相关用户及时更新WAF产品规则,以确保有效防护。