autotype安全 fastjson_Fastjson多个远程代码执行漏洞预警

Fastjson多个远程代码执行漏洞预警

2020-03-22

一、概要

近日，华为云关注到fastjson爆出存在多个新的Gadgets( shiro-core、ignite-jta 、aries.transaction.jms、caucho-quercus)可造成反序列远程代码执行。3月22日fastjson官方Git发布1.2.67新版本，当中更新了autoType安全黑名单，由于黑名单的补充具有滞后性，建议使用fastjson的用户优先使用关闭autoType(1.2.25版本开始默认关闭autoType)的措施来规避此类攻击。

华为云提醒使用fastjson的用户及时安排自检并做好安全加固。

参考链接：

二、威胁级别

威胁级别：【严重】

(说明：威胁级别共四级：一般、重要、严重、紧急)

三、漏洞影响范围

影响版本：

fastjson <= 1.2.67

四、漏洞处置

漏洞的利用前提是开启了autoType功能(在1.2.5x版本以上autoType默认是关闭状态)，若用户开启了autoType功能，可通过关闭该功能进行临时规避，具体操作可参考以下两种方法：

1、 在项目源码中找到以下行代码并将其删除。

ParserConfig.getGlobalInstance().setAutoTypeSupport(true);

2、 在JVM中启动项目时，命令行中不添加autoType参数。

-Dfastjson.parser.autoTypeSupport=true

3月22日，官方已发布最新1.2.67版本更新了autoType安全黑名单。

目前，华为云WAF已具备对该漏洞攻击的防御能力，华为云WAF用户将Web基础防护的状态设置为“拦截”模式即可，具体方法请参见配置Web基础防护规则。

注：修复漏洞前请将资料备份，并进行充分测试。