【误差通告】Fastjson 1.x 反序列化远程代码执行误差
宣布时间 2026-07-20一、误差概述
Fastjson是阿里巴巴开源的一款高性能Java JSON处置惩罚库，用于实现Java工具与JSON数据之间的快速转换，普遍应用于Web服务、API接口、微服务及企业级应用系统中。Fastjson 1.x曾因高性能和易用性被大宗Java项目接纳，但由于历史版本保存多次反序列化清静问题，Fastjson 1.x 分支已阻止维护并归档，不再提供清静更新，建议迁徙至Fastjson 2.x或其他清静替换计划。
2026年7月20日，耀世娱乐清静应急响应中心（VSRC）监测到Fastjson 1.x反序列化远程代码执行误差。其中1.2.68至1.2.83版本被发明保存无需依赖Classpath Gadget的反序列化远程代码执行误差。该误差使用链不依赖目的情形中预置的第三方组件或特定Gadget类，纵然接纳古板删除危险类、限制依赖库等缓解步伐，也无法有用阻止攻击。攻击者可通过结构恶意JSON数据触发Fastjson不清静反序列化流程，在目的服务器上执行恣意代码，导致服务器完全失陷、敏感数据泄露及营业系统被控制。由于Fastjson 1.x已于2024年10月阻止维护且客栈归档，不再提供清静补丁，继续使用保存较高清静危害。
二、影响规模
1.2.68 <= Fastjson <= 1.2.83（已确认）。
三、清静步伐
3.1 升级版本
将Fastjson 1.x 迁徙至 Fastjson 2.x 或其他清静 JSON 剖析库（如 Jackson）。
对项目依赖举行周全排查，阻止继续使用Fastjson 1.x。
下载链接：
https://github.com/alibaba/fastjson2/
3.2 暂时步伐
榨取外部不可信JSON 数据直接进入 Fastjson 反序列化流程；
关闭AutoType 功效；
对接口输入举行严酷校验；
通过WAF 或 API 网关限制异常 JSON 请求。
3.3 通用建议
按期更新系统补丁，镌汰系统误差，提升服务器的清静性。
增强系统和网络的会见控制，修改防火墙战略，关闭非须要的应用端口或服务，镌汰将危险服务（如SSH、RDP等）袒露到公网，镌汰攻击面。
使用企业级清静产品，提升企业的网络清静性能。
增强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应坚持在最低限度。
启用强密码战略并设置为按期修改。
3.4 参考链接
https://x.com/k_firsov/status/2078872293745570032
京公网安备11010802024551号