fastjson <= 1.2.80 反序列化任意代码执行漏洞

fastjson <= 1.2.80 存在反序列化任意代码执行漏洞。该漏洞利用黑白名单防御机制的绕过，即使autoType关闭也可能导致远程命令执行漏洞。这个漏洞的利用门槛较低，可以绕过默认限制攻击远程服务器，风险影响较大。建议fastjson用户立即采取安全措施来保护系统安全。对受影响的特定依赖≤1.2.80的情况下会有影响。为了解决这个问题，可以采取以下几种安全措施：
1. 升级到最新版本1.2.83，该版本修复了此次发现的漏洞。注意，该版本中涉及autotype行为变更，可能在某些场景下存在不兼容情况。如果遇到问题，可以到fastjson的Github页面寻求帮助。
2. 在1.2.68及之后的版本中引入了safeMode，可以通过配置safeMode来关闭autoType功能。这样无论是白名单还是黑名单，都不支持autoType，可以防止反序列化Gadgets类的变种攻击。但是请注意，在关闭autoType之前要充分评估对业务的影响。具体的配置方法可以参考fastjson的Wiki页面。
3. 考虑升级到fastjson v2版本，可以参考fastjson的Github页面了解相关信息。

总结起来，为了解决fastjson <= 1.2.80 反序列化任意代码执行漏洞，建议采取上述的安全措施，包括升级到最新版本、配置safeMode关闭autoType功能或者考虑升级到fastjson v2版本。这样可以防止漏洞的利用，并提升系统的安全性。<span class="em">1</span><span class="em">2</span><span class="em">3</span>
#### 引用[.reference_title]
- *1* [fastjson1.2.8 反序列化远程代码执行漏洞](https://download.csdn.net/download/xiazai_ceshi/18466350)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"]
- *2* *3* [fastjson ＜= 1.2.80 反序列化任意代码执行漏洞](https://blog.csdn.net/qq_18209847/article/details/124952791)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"]
[ .reference_list ]