一、漏洞详情

Fastjson是阿里巴巴开源的一款高性能Java JSON解析库。

近日，监测到Fastjson远程代码执行漏洞。该漏洞源于Fastjson内部的类型处理机制存在可被利用的缺陷。过往所有Fastjson RCE均依赖目标classpath中存在特定gadget类，防御侧可通过黑名单或移除危险依赖来缓解。攻击者无需目标环境存在任何已知危险类，也无法通过类型绑定的调用形式加以阻止，单条构造payload即可触发代码执行。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

Fastjson <= 1.2.83

三、修复建议

建议升级至Fastjson2，以规避1.x系列存在的安全漏洞与反序列化风险。升级时需按官方迁移指南调整API调用及配置，并在测试环境完成功能与性能验证，确保业务无损。