search

alibaba / fastjson

FASTJSON 2.0.x has been released, faster and more secure, recommend you upgrade.
https://github.com/alibaba/fastjson2/wiki/fastjson_1_upgrade_cn
Apache License 2.0
25.75k stars 6.5k forks source link

关于0day漏洞 #2500

Open weakfi opened 5 years ago

weakfi commented 5 years ago

说明：fastjson javaweb框架0day漏洞 影响版本：1.2.30以下，以及1.2.41到1.2.45版本 存在漏洞 默认开启了autoType功能，可以在json中通过@type指定类进行自动实例化。

================================================= 请问1.2.41到1.2.45版本还存在这个漏洞吗？

weakfi commented 5 years ago

1.2.41到1.2.45版本是否默认开启了autoType功能？ 这个在源码上要如何查看？

plokhotnyuk commented 5 years ago

@weakfi You can look how it is initialized here

Or just test your config instance in runtime with the isAutoTypeSupport call.

weakfi commented 5 years ago

@plokhotnyuk thanks for help

249043822 commented 5 years ago

我们也收到fastjson 0day预警， 我们目前使用的是1.1.46.sec01版本，请问下是否受影响呢？我们测试isAutoTypeSupport默认是关闭的。 谢谢 @wenshao

djsousuo commented 5 years ago

@wenshao Any update ?

jacarrichan commented 5 years ago

原来周六加班12个小时是为了这个漏洞。。。

frankiegao123 commented 5 years ago

autotype 的问题之前不是爆过漏洞，当时 fastjson 默认关闭 autotype 不是已经解决了么，怎么又来了？ https://github.com/alibaba/fastjson/wiki/enable_autotype

jokimina commented 5 years ago

关于这个问题有poc可以验证么

study-group123 commented 5 years ago

原来周六加班12个小时是为了这个漏洞。。。

你们之前是哪个版本啊，我们现在是1.2.44不确定是否要升级

EngineerKevin2468 commented 5 years ago

isAutoTypeSupport

isAutoTypeSupport 默认是false, 需要手动开启。 跟这个没关系。

polluxy commented 5 years ago

由于兼容问题无法升级到1.2.x，按升级建议将1.1.41升级到1.1.46.sec04也有兼容性问题，但1.1.41.sec04可以兼容，请问1.1.41.sec04是否修复了此问题？