AG公司云
- fastjson <= 1.2.24
剖析防护:fastjson远程代码执行误差
2017-03-15
2017年3月15日，fastjson官方宣布清静通告体现fastjson在1.2.24及之前版本保存远程代码执行高危清静误差。攻击者可以通过此误差远程执行恶意代码来入侵服务器。
fastjson官方建议直接升级到1.2.28/1.2.29或者更新版原来包管系统清静。
相关链接如下：
https://github.com/alibaba/fastjson/wiki/security_update_20170315
什么是fastjson
fastjson是一款用Java语言编写的高性能功效完善的JSON库。由于其奇异的算法，fastjson的parse速率极快，逾越了所有json库，包括一经号称最快的jackson以及Google的二进制协议protocol buf。fastjson照旧官方收录的参考实现之一，完全支持http://json.org的标准。除此之外，fastjson还支持种种JDK类型包括JavaBean，MapEnum泛型等，并且不需要特另外jar，能够直接跑在JDK上。Fastjson支持JDK 5， JDK 6，Android阿里云手机等情形。
受影响的版本
不受影响的版本
- fastjson > 1.2.24
注：官方体现版本大于1.2.24可是小于1.2.28的版本虽然为fastjson的过渡版本，可是不受此误差影响，因此不必升级。
误差剖析
通过新老版本的代码比照，发明此误差泛起在comalibabafastjsonparserDefaultJSONParser.java文件中的DefaultJSONParser::parseObject函数：
在1.2.24 （即受影响的版本）版本的代码中，加载类名时，用到了一个TypeUtils::loadClass的要领，此要领在comalibabafastjsonutilTypeUtils.java：
通过对代码的剖析发明，该要领没有对需要加载的类做限制，而是直接加载从而导致非授权的代码执行。
而在1.2.25（非受影响的版本）版本的代码中，使用了config.checkAutoType加载相关的类，代码位于comalibabafastjsonparserParserConfig.java，要领为ParserConfig::checkAutoType；
从该要领中可以看出，岂论用户是否开启了autoTypeSupport功效，在类名被加载时都需要通过特另外一层筛�。ɡ磁卸鲜欠裨赼cceptlist里），只有知足了此限制的类名才会被加载，不然软件会直接抛出异常并且不予执行。系统中界说的榨取加载的类名内容开头。
官方解决计划
阿里官方修复建议如下：
- 使用阿里官方提供的WAF检测
可以用以下下令检测post内容中是否包括字符：
注：添加双引号可以镌汰误报。
-
下令行检测目今使用版本是否保存问题：
-
直接下载不受影响的新版本
-
阿里官方已经宣布通告，建议受影响的用户连忙升级到1.2.28/1.2.29 或更高的版本，下载地点：
http://repo1.maven.org/maven2/com/alibaba/fastjson/1.2.29/
注：AG公司科技清静团队建议用户升级到1.2.29版本。
升级办法如下：
-
首先备份原fastjson依赖库，可升级失败后随时举行还原，差池营业造成影响。
-
然后将低版本的fastjson库替换为2.29版本即可，如下图所示：
-
Maven依赖设置更新
通过maven设置更新，使用最新版本，如下所示：
注：1.2.3 ~ 1.2.9版本均比1.2.29版本低，因此都需要升级。
