【漏洞通告】fastjson<=1.2.62远程代码执行漏洞通告

通告编号:NS-2020-0011

2020-02-21

1

漏洞概述

2月19日，NVD发布的Jackson-databind JNDI注入漏洞（CVE-2020-8840），在jackson-databind中的反序列化gadget也同样影响了fastjson，经绿盟科技研究人员分析验证，在开启了autoType功能的情况下（autoType功能默认关闭），该漏洞影响最新的fastjson 1.2.62版本，攻击者利用该漏洞可实现在目标机器上的远程代码执行。

fastjson是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean，由于具有执行效率高的特点，应用范围广泛。请相关用户尽快采取防护措施。

SEE MORE →

2影响范围

受影响版本

• fastjson <= 1.2.62

3漏洞防护

3.1 临时防护措施

官方暂未发布针对此漏洞的修复版本，开启了autoType功能的受影响用户可通过关闭autoType来规避风险（autoType功能默认关闭），另建议将JDK升级到最新版本。

autoType关闭方法如下：

方法一：

在项目源码中全文搜索如下代码，找到并将此行代码删除：

ParserConfig.getGlobalInstance().setAutoTypeSupport(true);

方法二：

在JVM中启动项目时，切勿添加以下参数：

-Dfastjson.parser.autoTypeSupport=true

请相关用户关注官方动态，在官方发布修复版本后及时升级进行防护。

3.2 产品防护

绿盟科技Web应用防护系统的历史防护规则（27004852）已具备对此漏洞的防护能力，请相关用户及时更新WAF产品规则，以确保有效防护。