Fastjson 反序列化漏洞通告

Release Date ： 2022-05-24 10:25:50 Update Date ： 2022-05-27 16:42:55 Author ：

【Abstract】2022年05月23日，华为感知到阿里巴巴官方发布了Fastjson的漏洞风险通告，漏洞等级：高危。

漏洞概述

2022年05月23日，华为感知到阿里巴巴官方发布了Fastjson的漏洞风险通告，漏洞等级：高危。

Fastjson 1.2.80 及以下版本存在反序列化漏洞，攻击者可以在特定条件下绕过默认的autoType关闭限制，反序列化有风险的类，这将允许远程攻击者在目标服务器上执行任意代码。建议广大用户及时升级到最新版本，避免遭受黑客的攻击。

关键信息

标题	内容
漏洞编号	暂无
评分	暂无
漏洞名称	Fastjson 反序列化漏洞
类型	不安全的反序列化/远程代码执行
漏洞利用条件和危害	远程攻击者通过向目标服务器发送恶意构造的JSON数据，可在服务器上执行任意代码。
远程利用	是
攻击复杂度	低
PoC/EXP	未知
在野利用	未知

受影响的版本

- Fastjson <= 1.2.80

解决方案

1. 华为解决方案

华为在感知到该漏洞信息后，安全研究人员持续关注此漏洞，对漏洞进行复现分析并开发IPS防护签名。目前最新IPS签名库已推送到升级网站，可供客户升级使用。

标题	内容	备注
IPS签名库版本	20220526**	**不同型号库的编码，日期比这个新的版本都可以防护此漏洞
签名ID	719960/719961：Alibaba Fastjson 不安全的反序列化漏洞
支持的设备类型	USG 6000/6000E/9000系列，Eudemon 1000E/8000E/9000E系列，NIP6000系列，IPS6000/12000以上系列产品	具体情况，请参考IPS签名库下载网址
设备自动升级	联网设备可以自动升级，无需人工操作	可以在设备上查看IPS签名库版本是否已经升级到最新。
设备手动升级	从https://isecurity.huawei.com/sec/web/freesignature.do网站下载对应的离线升级包，手工加载到设备。

2. 厂商解决方案

官方发布更新补丁，请受影响用户及时关注并尽快更新：

https://github.com/alibaba/fastjson/wiki/security_update_20220523

参考链接

https://github.com/alibaba/fastjson/wiki/security_update_20220523

【Copyright Notice】 This article is the original content of HUAWEI Security Center. When reprinting, you must indicate the source (HUAWEI Security Center), link and author of the article, otherwise you may be held liable.If you find any suspected infringing content on this website, please visit the Feedback page to report and provide relevant evidence. Once verified, we will immediately remove the allegedly infringing content.

BackTop

Comment

0	0
Like	Disagree

Security Notice

Research

Signature Update

Knowledge Base Query

Intelligence Query

FireHunter-Cloud FireHunter-Cloud

My Device

Support

Fastjson 反序列化漏洞通告

漏洞概述

关键信息

受影响的版本

解决方案

参考链接