服务公告
Fastjson远程拒绝服务漏洞预警
2019-09-05
一、概要
近日，华为云安全团队关注到业界爆出Fastjson 1.2.60以下版本存在远程拒绝服务漏洞。由于Fastjson对特定JSON字符串解析异常，攻击者可通过精心构造的请求包对使用Fastjson的服务器发起远程拒绝服务攻击，可导致服务器CPU/RAM过载，进而引起性能下降甚至服务器宕机。
参考链接：
https://github.com/alibaba/fastjson/pull/2692
二、威胁级别
威胁级别：【严重】
（说明：威胁级别共四级：一般、重要、严重、紧急）
三、影响范围
漏洞影响的产品版本包括：
Fastjson < 1.2.60
Fastjson sec版本 < sec06
安全版本为：
Fastjson >= 1.2.60
或Fastjson sec版本 >= sec06
四、处置方案
升级至Fastjson 安全版本，下载地址：http://repo1.maven.org/maven2/com/alibaba/fastjson/
华为云WAF已默认支持对该漏洞的检测，用户开启Web基础防护拦截模式后即可实现防护。配置方法可参考：
https://support.huaweicloud.com/usermanual-waf/waf_01_0008.html
注：修复漏洞前请将资料备份，并进行充分测试。
