fastjson string转json_fastjson再次发现漏洞，可能发生OOM导致宕机

最新推荐文章于 2024-05-28 17:52:05 发布

foosa凡

最新推荐文章于 2024-05-28 17:52:05 发布

阅读量433

点赞数

文章标签： fastjson string转json

本文链接：https://blog.csdn.net/weixin_35097945/article/details/112104383

版权

本文详细介绍了2019年9月2号在fastjson中发现的一个安全漏洞（issue2689），该漏洞可能导致OOM（内存溢出）并造成系统宕机。问题出在fastjson在解析包含特定x转义字符的字符串时，会进入无限循环。解决方案是增加16进制检查。官方已对此提出建议，并提醒用户尽快升级fastjson，以防止潜在风险。

摘要由CSDN通过智能技术生成

发现漏洞：issue2689

2019年9月2号有开发者在fastjson的仓库提了一个issue：Fastjson新版本解析到特定字符后直接触发异常。

具体问题是：字符串中包含x转义字符时可能引发OOM的问题，如：

//Code
String DEATH_STRING = "{"a":"x";
Object obj = JSON.parse(DEATH_STRING);

//OOM
java.lang.OutOfMemoryError: Java heap space

    at com.alibaba.fastjson.parser.JSONLexerBase.putChar(JSONLexerBase.java:5041)
    at com.alibaba.fastjson.parser.JSONLexerBase.scanString(JSONLexerBase.java:889)
    at com.alibaba.fastjson.parser.DefaultJSONParser.parseObject(DefaultJSONParser.java:483)
    at com.alibaba.fastjson.parser.DefaultJSONParser.parse(DefaultJSONParser.java:1394)
    at com.alibaba.fastjson.parser.DefaultJSONParser.parse(DefaultJSONParser.

最低0.47元/天解锁文章

foosa凡

关注

0
点赞
踩
1

收藏

觉得还不错? 一键收藏
0
评论
fastjson string转json_fastjson再次发现漏洞，可能发生OOM导致宕机

发现漏洞：issue26892019年9月2号有开发者在fastjson的仓库提了一个issue：Fastjson新版本解析到特定字符后直接触发异常。具体问题是：字符串中包含x转义字符时可能引发OOM的问题，如：//CodeString DEATH_STRING = "{"a":"x";Object obj = JSON.parse(DEATH_STRING);//OOMjava.la...
复制链接

扫一扫