发布日期：2017-03-15
更新日期：2017-03-28

受影响系统：

fastjson fastjson <= 1.2.24

不受影响系统：

fastjson fastjson > 1.2.24

描述：

---

fastjson是一款用Java语言编写的高性能功能完善的JSON库。

fastjson <= 1.2.24版本，在com\alibaba\fastjson\parser\DefaultJSONParser.java文件中的DefaultJSONParser::parseObject函数中存在远程代码执行高危安全漏洞。攻击者可以通过此漏洞远程执行恶意代码来入侵服务器。该漏洞源于fastjson在加载类时对类名判断的不严谨，导致攻击者可以将非授权的恶意代码添加到类名中，此代码会在稍后被fastjson解析时自动加载，导致代码的远程执行。由于fastjson的优越性能（如速度快，支持JDK类型广等），此json库被多数用户选择，尤其是对于数据处理的准确性和速度有较高要求的金融类产业，因此该漏洞对相关产业及用户影响较大。

<*来源：fastjson
  *>

建议：

---

厂商补丁：

fastjson
--------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

https://github.com/alibaba/fastjson/wiki/security_update_20170315

参考：
http://blog.nsfocus.net/analysis-protection-fastjson-remote-code-execution-vulnerability/

浏览次数：3561
严重程度：0（网友投票）