服务公告

全部公告 > 安全公告 > Fastjson多个远程代码执行漏洞预警

Fastjson多个远程代码执行漏洞预警

2020-03-22

一、概要

近日,华为云关注到fastjson爆出存在多个新的Gadgets( shiro-core、ignite-jta 、aries.transaction.jms、caucho-quercus)可造成反序列远程代码执行。3月22日fastjson官方Git发布1.2.67新版本,当中更新了autoType安全黑名单,由于黑名单的补充具有滞后性,建议使用fastjson的用户优先使用关闭autoType(1.2.25版本开始默认关闭autoType)的措施来规避此类攻击。

华为云提醒使用fastjson的用户及时安排自检并做好安全加固。

参考链接:

https://github.com/alibaba/fastjson/releases/tag/1.2.67

二、威胁级别

威胁级别:【严重】

(说明:威胁级别共四级:一般、重要、严重、紧急) 

三、漏洞影响范围

影响版本:

fastjson <= 1.2.67

四、漏洞处置

漏洞的利用前提是开启了autoType功能(在1.2.5x版本以上autoType默认是关闭状态),若用户开启了autoType功能,可通过关闭该功能进行临时规避,具体操作可参考以下两种方法:

1、 在项目源码中找到以下行代码并将其删除。

ParserConfig.getGlobalInstance().setAutoTypeSupport(true);

2、 在JVM中启动项目时,命令行中不添加autoType参数。

-Dfastjson.parser.autoTypeSupport=true

3月22日,官方已发布最新1.2.67版本更新了autoType安全黑名单。

1.2.67版本下载地址:https://repo1.maven.org/maven2/com/alibaba/fastjson/1.2.67/

目前,华为云WAF已具备对该漏洞攻击的防御能力,华为云WAF用户将Web基础防护的状态设置为“拦截”模式即可,具体方法请参见 配置Web基础防护规则

注:修复漏洞前请将资料备份,并进行充分测试。