fastjson 版本漏洞，请至少升级到1.2.60

最新推荐文章于 2024-08-11 01:45:18 发布
最新推荐文章于 2024-08-11 01:45:18 发布
阅读量2.9k 收藏
点赞数
分类专栏： 杂文 文章标签： fastjson
该文章仅作为个人记录分享，若有其他用途请注明出处、与我沟通。 【JCccc】
本文链接：https://blog.csdn.net/qq_35387940/article/details/103272510
版权

0x00 漏洞背景

2019年9月5日，fastjson在commit 995845170527221ca0293cf290e33a7d6cb52bf7上提交了旨在修复当字符串中包含x转义字符时可能引发OOM的问题的修复。

360CERT 判断该漏洞危害中。影响面较大。攻击者可以通过发送构造好的请求而致使当前线程瘫痪，当发送的恶意请求过多时有可能使业务直接瘫痪。

建议广大用户对自身的业务/产品进行组件自查，确认fastjson版本至少升级到1.2.60

小目标青年
关注
专栏目录
fastjson漏洞导致服务瘫痪，先别忙升级
zxiaofan.com
10-13 2032
1、背景   2019年9月5日，fastjson修复了当字符串中包含\x转义字符时可能引发OOM的问题。建议广大用户升级fastjson版本至少到1.2.60。  一个bug这么恐怖，竟然直接OOM，亲身体验下吧。测试代码如下： JSON.parse("[{\"a\":\"a\\x]"); 实验效果：4分钟 堆内存 占用上升达2G；  &em...
fastjson-1.2.83 针对近期阿里fastjson包漏洞，升级解决
05-24
Fastjson 1.2.80 及之前版本使用黑白名单用于防御反序列化漏洞，经研究该防御策略在特定条件下可绕过默认 autoType 关闭限制，攻击远程服务器，风险影响较大。建议 Fastjson 用户尽快采取安全措施保障系统安全
它又又又来了，Fastjson 最新高危漏洞来袭！快升级吧
emprere的博客
05-31 370
往期热门文章：1，《往期精选优秀博文都在这里了！》2、呕心沥血总结的14张思维导图，教你构建 Python核心知识体系（附高清下载）3、一份来自亚马逊技术专家的Google面试指南，Gi...
科普文：Java基础系列之【字节码应用案例Fastjson反序列化漏洞】
最新发布
为无为，事无事，味无味。
08-11 1073
transform方法利用Java的反射机制进行函数调用，传入的参数是input是一个实例化对象，利用这个方法便可以调用任意对象的任意方法(exec)从而执行命令，所以在DeSertPoc类里新建Transformer，最后组成的核心表达式为:((Runtime)Runtime.class.getMethod("getRuntime",null).invoke(null,null)).exec("whoami");基于TemplateImpl的方法可以直接执行bytecodes。
Java代码审计——Fastjson1.2.60反序列化漏洞
王嘟嘟的博客
03-01 5741
0x00 前言 反序列化总纲 1.2.24可参考：1.2.24fastjson 1.2.25-1.2.41 可参考：1.2.25 1.2.25-1.2.42 可参考：1.2.42 1.2.43可参考1.2.43 1.2.60的利用方式，实际上就是绕过了fastjson的黑名单，前提还是要autotype开启，并且存在相对应的库。 0x01 环境 maven中加入以下，然后刷新即可。 <dependency> <groupId>commons-c
alibaba-fastjson漏洞升级记录
sjy_2010的专栏
07-14 778
alibaba-fastjson漏洞升级记录
fastjson漏洞升级修复小记
weixin_34212762的博客
04-01 2832
2019独角兽企业重金招聘Python工程师标准>>> ...
高版本的fastjson-1.2.71解决安全漏洞.rar
04-14
总之，Fastjson的安全问题需要引起足够的重视，而通过升级到1.2.71这样的高版本，用户可以有效地防范已知的漏洞。然而，安全是一项持续的工作，需要结合代码审计、安全策略制定以及持续的监控来全面保障。
解决fastjson从1.1.41升级到1.2.28后报错问题详解
10-15
当升级到1.2.28版本时，Fastjson为了提高安全性，更改了默认的`MediaType`设置，将其更改为`MediaType.ALL`，也就是`*/*`，这意味着它接受所有类型的媒体类型。这种改变是为了防止未预期的或潜在有害的数据输入，但...
springboot集成fastjson2配置说明，fastjson1存在漏洞所以升级成fastjson2
06-28
springboot集成fastjson2配置说明，fastjson1存在漏洞所以升级成fastjson2
fastjson漏洞环境
01-12
- **升级 Fastjson**：最有效的防护措施是尽快将 Fastjson 库更新到最新且安全的版本。 - **禁用自动类型转换**：可以配置 Fastjson 禁用自动类型转换，以降低反序列化风险。 - **输入验证**：对所有传入的 JSON ...
fastjson最新版本jar包
07-21
fastjson最新版本jar包 fastjson-1.2.14.jar
fastjson-1.2.60.rar
09-17
阿里云应急响应中心监测到fastjson爆出远程拒绝服务漏洞，攻击者在请求中构造特定json字符串，可远程造成服务器内存和CPU等资源耗尽，最终拒绝服务。官方已发布公告说明，最新的1.2.60和带有sec06字符的版本不受影响
最新版 fastjson-1.2.68.jar
04-16
最新版 fastjson-1.2.68.jar
fastjson1.2.74版本发布，fastjson低版本存在反序列化漏洞升级
yukuleshui的博客
07-06 1579
介绍说明 fastjson是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。最为第三方库在项目中会使用，提供了方便。 但在安全方面fastjson总是被曝出存在反序列化安全漏洞，会造成会服务器的攻击，风险极大。 影响版本 fastjson <=1.2.68 fastjson sec版本 <= sec9 android版本不受此漏洞影响 解决办法 升级至最新版本1.2.74 <de
【Linux】升级FastJSON版本-jar
m0_52985087的博客
07-09 1617
在长期运行的应用服务器上，近期的安全漏洞扫描揭示了fastjson组件存在潜在的安全隐患（FastJSON是一个Java 语言实现的 JSON 解析器和生成器。FastJSON存在远程代码执行漏洞，恶意攻击者可以通过此漏洞远程执行恶意代码来入侵服务器）。为解决这一漏洞，解决方案是对fastjson版本的升级，以增强系统的安全性。为了避免因重新打包整个应用带来的不便与效率损失，我们采取了一种更为灵活的更新策略——直接在生产环境中升级fastjson至最新稳定版本。
高危，Fastjson反序列化远程代码执行漏洞风险通告，请尽快升级
葡萄城技术团队博客
05-24 5409
据国家网络与信息安全信息通报中心监测发现，开源Java开发组件Fastjson存在反序列化远程代码执行漏洞。攻击者可利用上述漏洞实施任意文件写入、服务端请求伪造等攻击行为，造成服务器权限被窃取、敏感信息泄漏等严重影响。 据统计，此次事件影响Fastjson 1.2.80及之前所有版本。目前， Fastjson最新版本1.2.83已修复该漏洞。 葡萄城提醒广大开发者：请及时排查梳理受影响情况，在确保安全的前提下修复漏洞、消除隐患，提高网络系统安全防护能力，严防网络攻击事件。 漏洞描述 5月23日，Fastj
本周推荐 · FastJson 升级了！
公众号：逛逛GitHub
05-06 1066
本期推荐开源项目目录：1. FastJson 升级了2. 一个想让直播回归纯粹的项目3. 一个舒适的笔记平台4. Markdown 可视化为思维导图5. 一个绘图应用程序01FastJson 升级了FASTJSON v2 是 FASTJSON 项目的重要升级，目标是为下一个十年提供一个高性能的 JSON 库。通过同一套API，支持 JSON/JSONB 两种协议，支持全量...
建议将com.alibaba:fastjson升级至1.2.83
热门推荐
闫玉林的博客
02-25 1万+
【代码】存在安全漏洞，建议将com.alibaba:fastjson升级至1.2.83。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

小目标青年

对你有帮助的话，谢谢你的打赏。

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值