fastjson远程代码执行漏洞安全通告
发布时间 2019-09-20●漏洞编号和级别
CVE编号：暂无，危险级别：高危，CVSS分值：官方未评定
●影响版本
受影响的版本
fastjson < =1.2.60
●漏洞概述
fastjson是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean，由于具有执行效率高的特点，应用范围广泛。
9月18日，有安全研究员在阿里官方GitHub上提交了针对fastjson反序列化远程命令执行漏洞新利用方式的修复代码(https://github.com/alibaba/fastjson/commit/05a7aa7f748115018747f7676fd2aefdc545d17a)，攻击者可以通过此漏洞远程执行恶意代码来入侵服务器。
●漏洞验证
暂无POC/EXP。
●修复建议
官方暂未发布修复版本。
缓解措施：
官方暂未发布针对此漏洞的修复版本，受影响用户需确定当前版本为官方最新版本，且未开启autoType功能，实现对此漏洞的防护（autoType功能默认关闭）。
autoType关闭方法：
方法一：在项目源码中全文搜索如下代码，找到并将此行代码删除：
ParserConfig.getGlobalInstance().setAutoTypeSupport(true);
方法二：在JVM中启动项目时，不要添加如下参数：
-Dfastjson.parser.autoTypeSupport=true
●参考链接
https://github.com/alibaba/fastjson/commit/05a7aa7f748115018747f7676fd2aefdc545d17a
京公网安备11010802024551号