国产亚洲不卡一区二区-色婷婷亚洲十月十月色天-少妇丰满a一区二区三区-天堂av日韩在线观看

首頁安全服務(wù)安全公告
正文

Fastjson遠(yuǎn)程代碼執(zhí)行漏洞安全預(yù)警與建議

發(fā)布時(shí)間:2022-05-25 16:05   瀏覽次數(shù):4753

近日,海峽信息安全威脅情報(bào)中心監(jiān)測(cè)到阿里巴巴公司開源Java開發(fā)組件Fastjson存在遠(yuǎn)程代碼執(zhí)行漏洞。攻擊者利用上述漏洞可遠(yuǎn)程執(zhí)行任意代碼。目前官方已發(fā)布安全版本,海峽信息安全應(yīng)急中心建議受影響單位和用戶立即升級(jí)至安全版本。


一、漏洞描述

Fastjson是阿里巴巴開源的Java對(duì)象和JSON格式字符串的快速轉(zhuǎn)換的工具庫。它可以解析JSON格式的字符串,支持將Java Bean序列化為JSON字符串,也可以從JSON字符串反序列化到JavaBean。相關(guān)Fastjson版本存在遠(yuǎn)程代碼執(zhí)行漏洞,攻擊者可以在特定依賴下利用此漏洞繞過默認(rèn)autoType關(guān)閉限制,從而反序列化有關(guān)安全風(fēng)險(xiǎn)的類。在特定條件下可能導(dǎo)致遠(yuǎn)程代碼執(zhí)行。


二、影響范圍

受影響的產(chǎn)品及版本:

特定依賴存在下影響 Fastjson ≤1.2.80


三、安全防范建議

海峽信息提醒各相關(guān)單位和用戶要強(qiáng)化風(fēng)險(xiǎn)意識(shí),切實(shí)加強(qiáng)安全防范:

1、目前黑盾Web應(yīng)用防火墻、黑盾入侵檢測(cè)系統(tǒng)、黑盾入侵防御系統(tǒng)等安全設(shè)備支持漏洞防御及相關(guān)漏洞的檢測(cè):


6626262.png

如相關(guān)用戶設(shè)備規(guī)則庫未升級(jí)至最新規(guī)則庫,請(qǐng)及時(shí)升級(jí)設(shè)備規(guī)則庫版本,相關(guān)特征庫已發(fā)布到官網(wǎng)

http://huihua-ad.com/Technical/upgrade.html

2、目前官方已發(fā)布安全版本:1.2.83,海峽信息提醒各相關(guān)單位和用戶要強(qiáng)化風(fēng)險(xiǎn)意識(shí),切實(shí)加強(qiáng)安全防范:

建議用戶盡快自查,對(duì)受影響的版本及時(shí)升級(jí)至最新版本1.2.83:https://github.com/alibaba/fastjson/releases/tag/1.2.83

3、配置safeMode

Fastjson在 1.2.68 及之后的版本中引入了 safeMode,配置 safeMode 后,無論白名單和黑名單,都不支持 autoType,可杜絕此類反序列化漏洞攻擊(關(guān)閉autoType注意評(píng)估對(duì)業(yè)務(wù)的影響)。因此 1.2.68 及之后版本的用戶若無法通過版本升級(jí)來修復(fù)漏洞,可考慮配置開啟 safeMode,如下提供三種配置SafeMode的方法:

a、在相應(yīng)有引入Fastjson組件的代碼中,配置加入如下代碼:ParserConfig.getGlobalInstance().setSafeMode(true)

b、通過fastjson.properties文件配置,在配置文件中加入如下:fastjson.parser.safeMode=true

c、加上JVM啟動(dòng)參數(shù):-Dfastjson.parser.safeMode=true

具體配置方法可參考:https://github.com/alibaba/fastjson/wiki/fastjson_safemode

 

附參考鏈接:

https://www.cnvd.org.cn/flaw/show/CNVD-2022-40233

福建省海峽信息技術(shù)有限公司 版權(quán)所有  聯(lián)系: hxzhb@heidun.net 閩ICP備06011901號(hào) ? 1999-2024 Fujian Strait Information Corporation. All Rights Reserved.

返回頂部

国产黄色自拍av网站| 日本大片在线一区二区三区| 黄片视频免费观看一起草| 韩国理伦三级做爰观看| 国产欧美日韩另类视频| 日本熟女视频免费观看| 中文字幕一区二区三区网站| 人妻少妇偷人精品免费看| 亚洲av毛片在线免费| 日韩精品中文字幕欧美激情 | 色哟哟免费在线观看视频| 国产精品免费视频能看的| 日韩免费的黄色片网站| 成人免费在线视频不卡| 国产精品一久久香蕉产线看| 亚洲二区中文字幕在线观看| 97免费观看在线观看| 亚洲国产视频不卡一区| 99亚洲综合一区二区三区| 人妻人人澡人人添人人爽桃色| 久久香蕉国产线看观看亚洲| 久久 久久国内精品亚洲| 女同蝴蝶在线看完整版| 成人黄片在线免费播放| 精品午夜免费福利视频| 亚洲av成人永久网站一区| 国产精品一区二区综合亚洲| 午夜福利中文字幕在线亚洲| 国产成人色污在线观看| 欧美日韩国内在线视频| 中午字幕久久亚洲精品| 欧美日韩国产综合下一页| 国产又大又黄又粗的黄色| 亚洲综合色婷婷七月丁香| 尤物视频最新在线观看| 亚洲精品视频久久免费| 日韩欧美国产综合一区二区| 日本精品一区二区三区免费| 91久久国产免费网站| 亚洲欧美丝袜清纯另类| 精品少妇人妻av不卡久久|