2019年6月22日,阿里云云盾應急響應中心監測到FastJSON存在0day漏洞,攻擊者可以利用該漏洞繞過黑名單策略進行遠程代碼執行。
FastJSON遠程代碼執行0day漏洞
利用該0day漏洞,惡意攻擊者可以構造攻擊請求繞過FastJSON的黑名單策略。例如,攻擊者通過精心構造的請求,遠程讓服務端執行指定命令(以下示例中成功運行計算器程序)。
升級至FastJSON最新版本,建議升級至1.2.58版本。
說明 強烈建議不在本次影響範圍內的低版本FastJSON也進行升級。
您可以通過更新Maven依賴配置,升級FastJSON至最新版本(1.2.58版本)。
<dependency>
<groupId>com.alibaba</groupId>
<artifactId>fastjson</artifactId>
<version>1.2.58</version>
</dependency>
Web應用防火牆的Web攻擊防護規則中已默認配置相應規則防護該FastJSON 0day漏洞,啟用Web應用防火牆的Web應用攻擊防護功能即可。
說明 如果您的業務使用自定義規則組功能自定義所應用的防護規則,請務必在自定義規則組中添加以下規則:
安全管家服務可以為您提供包括安全檢測、安全加固、安全監控、安全應急等一系列專業的安全服務項目,幫助您更加及時、有效地應對漏洞及黑客攻擊,詳情請關注安全管家服務。
消息來源:阿里雲
[admin
]