[漏洞通告]Fastjson <= 1.2.68存在远程代码执行漏洞

漏洞描述

近日,亚信安全网络攻防实验室跟踪到Fastjson <= 1.2.68存在远程代码执行漏洞.可在未开启autotype开关的情况下被利用,以至于可直接获取服务器权限.

漏洞编号

无

漏洞威胁等级

高危

影响范围

Fastjson <= 1.2.68

漏洞验证

修复建议

1.建议升级到官方最新版本
2.建议配置以下参数开启SafeMode来防护攻击：
ParserConfig.getGlobalInstance().setSafeMode(true);

注意:一旦开启safeMode会完全禁用autotype,无视白名单,可能会影响业务连续性.

时间轴

[0] 2020/05/18 腾讯云发布漏洞通告
[1] 2020/06/29 亚信安全网络攻防实验室分析&复现该漏洞并发布漏洞通告

Reference