严重 fastjson <=1.2.68 反序列化任意代码执行漏洞
CVE编号
N/A利用情况
漏洞武器化补丁情况
官方补丁披露时间
2020-06-01漏洞描述
近日，阿里云应急响应中心监测到fastjson爆发新的反序列化远程代码执行漏洞，黑客利用漏洞，可绕过autoType限制，直接远程执行任意命令攻击服务器，风险极大。 1. 漏洞描述 fastjson采用黑白名单的方法来防御反序列化漏洞，导致当黑客不断发掘新的反序列化Gadgets类时，在autoType关闭的情况下仍然可能可以绕过黑白名单防御机制，造成远程命令执行漏洞。经研究，该漏洞利用门槛较低，可绕过autoType限制，风险影响较大。阿里云应急响应中心提醒fastjson用户尽快采取安全措施阻止漏洞攻击。 2. 影响版本 fastjson <=1.2.68 fastjson sec版本 <= sec9 android版本不受此漏洞影响解决建议
1. 升级方案升级到最新版本1.2.69或者更新的1.2.70版本。1.2.69 https://github.com/alibaba/fastjson/releases/tag/1.2.691.2.70 https://github.com/alibaba/fastjson/releases/tag/1.2.70如果遇到兼容问题，原地升级sec10版本。1.1.15~1.1.31 -> 1.1.31.sec101.1.32~1.1.33 -> 1.1.33.sec101.1.34 -> 1.1.34.sec101.1.35~1.1.46 -> 1.1.46.sec101.2.0~1.2.2 -> 1.2.2.sec10 因为1.2.3之后的版本Map是没有排序输出的，如果不关注这个兼容问题，升级到1.2.701.2.3~1.2.7 -> 1.2.7.sec10 因为1.2.7使用最多特别提供，也可以直接使用1.2.8.sec101.2.8 -> 1.2.8.sec101.2.9~1.2.29 -> 1.2.29.sec101.2.30~1.2.48 -> 1.2.48.sec101.2.49~1.2.68 -> 1.2.69或1.2.70 中间有很多sec10小版本，建议直接升级到1.2.69或1.2.70，如果遇到兼容再考虑sec10版本如果还遇到其他兼容问题，这里有更多的sec10版本 https://repo1.maven.org/maven2/com/alibaba/fastjson/2. safeMode加固fastjson在1.2.68及之后的版本中引入了safeMode，配置safeMode后，无论白名单和黑名单，都不支持autoType，可一定程度上缓解反序列化Gadgets类变种攻击（关闭autoType注意评估对业务的影响）2.1 开启方法参考 https://github.com/alibaba/fastjson/wiki/fastjson_safemode2.2 使用1.2.69之后的版本是否需要使用safeMode1.2.69修复了此次发现的高危漏洞，开启safeMode是完全关闭autoType功能，避免类似问题再次发生，这可能会有兼容问题，大家打开时需要做充分测试
参考链接 |
|
|---|---|
| http://help.aliyun.com/noticelist/articleid/1060343604.html | |
| https://github.com/alibaba/fastjson/wiki/security_update_20200601 | |
| https://mp.weixin.qq.com/s/6fHJ7s6Xo4GEdEGpKFLOyg |
受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | alibaba | fastjson | * | Up to (excluding) 1.2.69 | |||||
- 攻击路径 远程
- 攻击复杂度 容易
- 权限要求 无需权限
- 影响范围 全局影响
- EXP成熟度 漏洞武器化
- 补丁情况 官方补丁
- 数据保密性 数据泄露
- 数据完整性 传输被破坏
- 服务器危害 服务器失陷
- 全网数量 N/A
| CWE-ID | 漏洞类型 |
| CWE-502 | 可信数据的反序列化 |
Exp相关链接
- avd.aliyun.com
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论