高危！Fastjson反序列化漏洞风险

2022-05-30 11:47:31　来源: 开源字节

1、漏洞概述

近日，Fastjson Develop Team发布安全公告，修复了一个存在于Fastjson1.2.80及之前版本中的反序列化漏洞。

Fastjson是一个由Java语言编写的高性能JSON库，它采用名为“假定有序快速匹配”的算法将JSON Parse的性能提升到极致。由于Fastjson接口简单易用，目前已被广泛使用在缓存序列化、协议交互、Web输出、Android客户端等多种应用场景中。

由于Fastjson基于autoType黑白名单对反序列化漏洞进行防御的安全机制存在缺陷，成功利用该缺陷可绕过autoType的防御机制，从而导致Fastjson将存在风险的类进行反序列化处理，以达到执行远程代码的目的。

2、受影响的版本

特定依赖存在下影响 ≤1.2.80

3、漏洞等级

风险评级：高危！

4、修复建议

1. 升级到新版本1.2.83，下载地址：

https://github.com/alibaba/fastjson/releases/tag/1.2.83

该版本涉及autotype行为变更，在某些场景会出现不兼容的情况，如遇到问题可以到 https://github.com/alibaba/fastjson/issues 寻求帮助。）

5.开源字节低代码平台会受影响吗？该如何处理？

答：会的。因为我们也在使用Fastjson，且版本号是，我们已经升级到最新版1.2.83，fork代码的同学可以pull最新的代码。或者手动修改一下父工程中的版本号，如下图所示：

1.2.79

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-lYVCQPi1-1654051245132)(https://nimg.ws.126.net/?url=http%3A%2F%2Fdingyue.ws.126.net%2F2022%2F0530%2F8410cad3j00rcof700019c000km00a0m.jpg&thumbnail=660x2147483647&quality=80&type=jpg)]

如若转载，请注明出处：开源字节 https://sourcebyte.cn/article/140.html
s://sourcebyte.cn/article/140.html