手机版
你好,游客 登录 注册 搜索
背景:
阅读新闻

fastjson远程代码执行漏洞

[日期:2017-03-28] 来源:Linux社区  作者:Linux [字体: ]
fastjson远程代码执行漏洞


发布日期:2017-03-15
更新日期:2017-03-28

受影响系统:

fastjson fastjson <= 1.2.24

不受影响系统:

fastjson fastjson > 1.2.24

描述:


fastjson是一款用Java语言编写的高性能功能完善的JSON库。

fastjson <= 1.2.24版本,在com\alibaba\fastjson\parser\DefaultJSONParser.java文件中的DefaultJSONParser::parseObject函数中存在远程代码执行高危安全漏洞。攻击者可以通过此漏洞远程执行恶意代码来入侵服务器。该漏洞源于fastjson在加载类时对类名判断的不严谨,导致攻击者可以将非授权的恶意代码添加到类名中,此代码会在稍后被fastjson解析时自动加载,导致代码的远程执行。由于fastjson的优越性能(如速度快,支持JDK类型广等),此json库被多数用户选择,尤其是对于数据处理的准确性和速度有较高要求的金融类产业,因此该漏洞对相关产业及用户影响较大。

<*来源:fastjson
  *>

建议:


厂商补丁:

fastjson
--------
目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:

https://github.com/alibaba/fastjson/wiki/security_update_20170315

参考:
http://blog.nsfocus.net/analysis-protection-fastjson-remote-code-execution-vulnerability/

本文永久更新链接地址http://www.linuxidc.com/Linux/2017-03/142303.htm

linux
相关资讯       fastjson 
本文评论   查看全部评论 (0)
表情: 表情 姓名: 字数

       

评论声明
  • 尊重网上道德,遵守中华人民共和国的各项有关法律法规
  • 承担一切因您的行为而直接或间接导致的民事或刑事法律责任
  • 本站管理人员有权保留或删除其管辖留言中的任意内容
  • 本站有权在网站内转载或引用您的评论
  • 参与本评论即表明您已经阅读并接受上述条款