fastjson远程代码执行漏洞
发布日期:2017-03-15
更新日期:2017-03-28
受影响系统:
fastjson fastjson <= 1.2.24
不受影响系统:
fastjson fastjson > 1.2.24
描述:
fastjson是一款用Java语言编写的高性能功能完善的JSON库。
fastjson <= 1.2.24版本,在com\alibaba\fastjson\parser\DefaultJSONParser.java文件中的DefaultJSONParser::parseObject函数中存在远程代码执行高危安全漏洞。攻击者可以通过此漏洞远程执行恶意代码来入侵服务器。该漏洞源于fastjson在加载类时对类名判断的不严谨,导致攻击者可以将非授权的恶意代码添加到类名中,此代码会在稍后被fastjson解析时自动加载,导致代码的远程执行。由于fastjson的优越性能(如速度快,支持JDK类型广等),此json库被多数用户选择,尤其是对于数据处理的准确性和速度有较高要求的金融类产业,因此该漏洞对相关产业及用户影响较大。
<*来源:fastjson
*>
建议:
厂商补丁:
fastjson
--------
目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:
https://github.com/alibaba/fastjson/wiki/security_update_20170315
参考:
http://blog.nsfocus.net/analysis-protection-fastjson-remote-code-execution-vulnerability/
本文永久更新链接地址:http://www.linuxidc.com/Linux/2017-03/142303.htm