搜索

[14336] 2019-07-11_漏洞预警丨Fastjson远程代码执行漏洞

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-07-11_漏洞预警丨Fastjson远程代码执行漏洞 漏 洞 预 警 丨 F a s t j s o n 远 程 代 码 执 行 漏 洞 网 藤 智 能 安 全   F r e e B u f   2 0 1 9 - 0 7 - 1 1 一 、 前 言 一 、 前 言 F a s t j s o n 是 阿 里 巴 巴 的 开 源 是 阿 里 巴 巴 的 开 源 J S O N 解 析 库 ， 它 可 以 解 析 解 析 库 ， 它 可 以 解 析 J S O N 格 式 的 字 符 串 ， 支 持 将 格 式 的 字 符 串 ， 支 持 将 J a v a   B e a n 序 列 化 为 序 列 化 为 J S O N 字 符 串 ， 也 可 以 从 字 符 串 ， 也 可 以 从 J S O N 字 符 串 反 序 列 化 到 字 符 串 反 序 列 化 到 J a v a B e a n 。 。 二 、 漏 洞 简 介 二 、 漏 洞 简 介 F a s t j s o n   1 . 2 . 4 8 版 本 以 下 存 在 反 序 列 化 漏 洞 补 丁 绕 过 。 三 、 漏 洞 危 害 三 、 漏 洞 危 害 经 斗 象 安 全 应 急 响 应 团 队 分 析 F a s t j s o n 多 处 补 丁 修 补 出 现 纰 漏 ， F a s t j s o n 在 1 . 2 . 4 8 版 本 以 下 ， 无 需 A u t o t y p e 开 启 ， 攻 击 者 即 可 通 过 精 心 构 造 的 请 求 包 在 使 用 F a s t j s o n 的 服 务 器 上 进 行 远 程 代 码 执 行 。 四 、 影 响 范 围 四 、 影 响 范 围 产 品 产 品 F a s t j s o n 版 本 版 本 1 . 2 . 4 8 以 下 版 本 组 件 组 件 F a s t j s o n 五 、 漏 洞 复 现 五 、 漏 洞 复 现 使 用 P O C 进 行 漏 洞 复 现 。 六 、 修 复 方 案 六 、 修 复 方 案 1 . 升 级 F a s t j o s n 到 1 . 2 . 5 8 版 本 ， 并 关 闭 A u t o t y p e ；
2 . W A F 拦 截 J s o n 请 求 中 的 多 种 编 码 形 式 的 ‘ @ t y p e ’ ， ‘ u 0 0 4 0 t y p e ’ 等 字 样 ； 3 . 建 议 尽 可 能 使 用 J a c k s o n 或 者 G s o n ； 4 . 升 级 J D K 版 本 到 8 u 1 2 1 ， 7 u 1 3 ， 6 u 1 4 1 以 上 。 七 、 参 考 七 、 参 考 h t t p s : / / g i t h u b . c o m / a l i b a b a / f a s t j s o n 以 上 是 本 次 高 危 漏 洞 预 警 的 相 关 信 息 ， 如 有 任 何 疑 问 或 需 要 更 多 支 持 ， 可 通 过 以 下 方 式 与 我 们 取 得 联 系 。 联 系 电 话 ： 联 系 电 话 ： 4 0 0 - 1 5 6 - 9 8 6 6 E m a i l ： ： h e l p @ t o p h a n t . c o m 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理