漏洞预警 | Fastjson远程拒绝服务漏洞
2019-09-05 16:46:48 Author: www.freebuf.com(查看原文) 阅读量:251 收藏

*本文中涉及到的相关漏洞已报送厂商并得到修复,本文仅限技术研究与讨论,严禁用于非法用途,否则产生的一切后果自行承担。

微信图片_20190905153954.jpg

一、前言

Fastjson是阿里巴巴的开源JSON解析库,它可以解析JSON格式的字符串,支持将Java Bean序列化为JSON字符串,也可以从JSON字符串反序列化到JavaBean。

二、漏洞简介

Fastjson 1.2.60版本以下存在字符串解析异常。

三、漏洞危害

经斗象安全应急响应团队分析Fastjson多个版本存在远程拒绝服务漏洞,Fastjson 1.2.60版本以下存在字符串解析异常,可导致远程拒绝服务攻击。攻击者即可通过精心构造的请求包对使用Fastjson的服务器造成远程拒绝服务攻击,可导致服务器宕机。

四、影响范围

产品

Fastjson

版本

1.2.60以下版本

组件

Fastjson

五、漏洞复现

经本地测试发现,此漏洞可导致服务器CPU/RAM过载,造成服务器宕机。

微信图片_20190905154039.jpg

六、修复方案

1、升级Fastjson到1.2.60版本

2、建议尽可能使用Jackson或者Gson

七、参考

https://github.com/alibaba/fastjson


文章来源: https://www.freebuf.com/vuls/213609.html
如有侵权请联系:admin#unsafe.sh