当前位置:首页 > 信息安全 > 安全通告 > 详情
安全漏洞预警通告-FastJson远程代码执行漏洞预警
2019年07月16日   
  1、基本情况
  Java JSON组件FastJson存在远程代码执行漏洞。攻击者可以通过提交精心构造的JSON数据实现远程代码执行;经过分析发现该利用方式只影响FastJson 1.2.48 版本以下。
  2、漏洞描述
  Fastjson是阿里巴巴的开源JSON解析库,它可以解析JSON格式的字符串,支持将Java Bean序列化为JSON字符串,也可以从JSON字符串反序列化到JavaBean。
  据了解,该漏洞已在2018年10月完成修复。目前,漏洞利用方式被公开且该组件使用量巨大。
  经过深入分析发现,该漏洞利用方式通过使用@type指定java.lang.Class绕过autoType机制并且将JndiDataSourceFactory注入到mappings,虽然FastJson在1.2.46版本就已经将JndiDataSourceFactory加入黑名单,但是代码执行流程在进入checkAutoType后,在黑名单检测流程前就提前返回了class对象,所以不用考虑黑名单机制。
  FastJson的DefaultJSONParser是FastJson的默认JSON解析器,该解析器使用假定有序快速匹配算法对JSON数据进行解析,当解析到@type,并且@type不为空会调用checkAutoType进行安全检查;由于FastJson在设计的时候就考虑到性能,所以FastJson使用ASM直接生成对象而不是用反射。
  所以在MiscCodec的责任链中,java.lang.Class拥有类加载的能力。
  在FastJson 1.2.47的TypeUtils中,由于loadClass的cache参数默认为True,导致JndiDataSourceFactory被注入到mappings,从而引发了代码执行。
  在FastJson 1.2.48中,TypeUtils的cache参数被修改为false,所以无法使用java.lang.Class将恶意链再注入到mappings中。
  由于使用java.lang.Class成功将恶意链注入到mappings,所以在ParserConfig中成功的从deserializers获取typeName导致clazz不为空,绕过了autoType。
 
  最终这个精妙的代码执行路径实现了任意代码执行。
  3、影响范围
  FastJson < 1.2.48
  4、处置建议
  FastJson 升级到1.2.51
  FastJson 升级到1.2.58
  5、参考链接
  1) https://github.com/alibaba/fastjson