服务公告
Fastjson多个远程代码执行漏洞预警
2020-03-22
一、概要
近日,华为云关注到fastjson爆出存在多个新的Gadgets( shiro-core、ignite-jta 、aries.transaction.jms、caucho-quercus)可造成反序列远程代码执行。3月22日fastjson官方Git发布1.2.67新版本,当中更新了autoType安全黑名单,由于黑名单的补充具有滞后性,建议使用fastjson的用户优先使用关闭autoType(1.2.25版本开始默认关闭autoType)的措施来规避此类攻击。
华为云提醒使用fastjson的用户及时安排自检并做好安全加固。
参考链接:
https://github.com/alibaba/fastjson/releases/tag/1.2.67
二、威胁级别
威胁级别:【严重】
(说明:威胁级别共四级:一般、重要、严重、紧急)
三、漏洞影响范围
影响版本:
fastjson <= 1.2.67
四、漏洞处置
漏洞的利用前提是开启了autoType功能(在1.2.5x版本以上autoType默认是关闭状态),若用户开启了autoType功能,可通过关闭该功能进行临时规避,具体操作可参考以下两种方法:
1、 在项目源码中找到以下行代码并将其删除。
ParserConfig.getGlobalInstance().setAutoTypeSupport(true);
2、 在JVM中启动项目时,命令行中不添加autoType参数。
-Dfastjson.parser.autoTypeSupport=true
3月22日,官方已发布最新1.2.67版本更新了autoType安全黑名单。
1.2.67版本下载地址:https://repo1.maven.org/maven2/com/alibaba/fastjson/1.2.67/
目前,华为云WAF已具备对该漏洞攻击的防御能力,华为云WAF用户将Web基础防护的状态设置为“拦截”模式即可,具体方法请参见 配置Web基础防护规则。
注:修复漏洞前请将资料备份,并进行充分测试。