【安全通告】Fastjson2 远程代码执行漏洞风险通告

Fastjson2 是 Fastjson 项目的重要升级，是一个性能极致并且简单易用的 Java JSON 库。

在 Fastjson2 2.0.62 及之前的版本中，由于 SupportAutoType 在默认禁用状态下，解析器在处理 @type 属性时，会将其字符串的增量 FNV-1a 哈希与默认接受的哈希值进行匹配，但命中后未进一步确认该文本是否等于预期的白名单类名。攻击者可针对任意前缀计算 FNV-1a 碰撞，构造一个哈希值匹配但文本不为预期类的 URL 形态字符串，使其进入应用的上下文类加载器，最终实现任意代码执行。

未经身份验证的远程攻击者利用该漏洞可在目标服务器上执行任意代码，导致服务器被完全控制、数据泄露或业务系统沦陷等危害。

Fastjson2 <= 2.0.62

官方发布的安全补丁

1. 官方已发布漏洞补丁，请评估业务是否受影响后，及时更新漏洞补丁

https://github.com/alibaba/fastjson2/commit/ec47e24c487fdc864bfe0d18e1850398de634cef

2. 缓解措施：

(1) 通过 JVM 启动参数启用 SafeMode 来完全禁用 AutoType 功能：

-Dfastjson2.parser.safeMode=true

(2) 如业务允许，在反序列化前对 JSON 输入进行严格的模式校验或白名单过滤；

(3) 在 Web 应用防火墙（WAF）层面配置规则，拦截请求体中 key 包含 @type 字段的 JSON 数据。