Fastjson远程代码执行漏洞是怎样的
今天就跟大家聊聊有关Fastjson远程代码执行漏洞是怎样的,可能很多人都不太了解,为了让大家更加了解,小编给大家总结了以下内容,希望大家根据这篇文章可以有所收获。
10年的南票网站建设经验,针对设计、前端、开发、售后、文案、推广等六对一服务,响应快,48小时及时工作处理。全网营销推广的优势是能够根据用户设备显示端的尺寸不同,自动调整南票建站的显示方式,使网站能够适用不同显示终端,在浏览器中调整网站的宽度,无论在任何一种浏览器上浏览网站,都能展现优雅布局与设计,从而大程度地提升浏览体验。创新互联从事“南票网站设计”,“南票网站推广”以来,每个客户项目都认真落实执行。
0x00 漏洞背景
2020年05月28日, 360CERT监测发现业内安全厂商发布了Fastjson远程代码执行漏洞
的风险通告,漏洞等级:高危
。
Fastjson
是阿里巴巴的开源JSON解析库,它可以解析JSON格式的字符串,支持将Java Bean序列化为JSON字符串,也可以从JSON字符串反序列化到JavaBean。
Fastjson
存在远程代码执行漏洞
,autotype
开关的限制可以被绕过,链式的反序列化攻击者精心构造反序列化利用链
,最终达成远程命令执行
的后果。此漏洞本身无法绕过Fastjson
的黑名单限制,需要配合不在黑名单中的反序列化利用链
才能完成完整的漏洞利用。
截止到漏洞通告发布,官方还未发布1.2.69
版本,360CERT建议广大用户及时关注官方更新通告,做好资产自查,同时根据临时修复建议进行安全加固,以免遭受黑客攻击。
0x01 风险等级
360CERT对该漏洞的评定结果如下
评定方式 | 等级 |
---|---|
威胁等级 | 【高危】 |
影响面 | 【广泛】 |
0x02 影响版本
Fastjson:<= 1.2.68
0x03 修复建议
临时修补建议:
升级到
Fastjson 1.2.68
版本,通过配置以下参数开启 SafeMode 来防护攻击:ParserConfig.getGlobalInstance().setSafeMode(true);
(safeMode
会完全禁用autotype
,无视白名单,请注意评估对业务影响)
看完上述内容,你们对Fastjson远程代码执行漏洞是怎样的有进一步的了解吗?如果还想了解更多知识或者相关内容,请关注创新互联行业资讯频道,感谢大家的支持。
本文标题:Fastjson远程代码执行漏洞是怎样的
文章网址:http://scyanting.com/article/ihcogg.html