fastjson ＜= 1.2.80 反序列化任意代码执行漏洞

fastjson ＜= 1.2.80 存在反序列化任意代码执行漏洞。该漏洞利用了黑白名单防御机制的绕过问题，即使autoType关闭，黑客仍然可以绕过黑白名单防御机制，从而导致远程命令执行漏洞。攻击者可以利用该漏洞攻击远程服务器，风险影响较大。建议fastjson用户立即采取安全措施以保障系统安全。特定依赖存在下，漏洞影响范围在 1.2.80 及之前的版本中。为了解决此漏洞，可以采取以下几种措施：
1.升级到最新版本1.2.83，该版本修复了此次发现的漏洞，并涉及autotype行为变更。需要注意的是，在升级过程中可能会出现不兼容的情况，如果遇到问题可以在https://github.com/alibaba/fastjson/issues寻求帮助。
2.在1.2.68及之后的版本中，fastjson引入了safeMode功能。通过配置safeMode，无论是白名单还是黑名单，都不支持autoType，从而可以杜绝反序列化Gadgets类变种攻击（关闭autoType时需要评估对业务的影响）。开启safeMode的方法可以参考https://github.com/alibaba/fastjson/wiki/fastjson_safemode。
3.还可以考虑升级到fastjson v2版本，具体升级方法可以参考https://github.com/alibaba/fastjson2/releases。请注意，在升级过程中可能会有兼容性问题，因此在开启之前，请充分评估对业务的影响。<span class="em">1</span><span class="em">2</span><span class="em">3</span>
#### 引用[.reference_title]
- *1* [fastjson1.2.8 反序列化远程代码执行漏洞](https://download.csdn.net/download/xiazai_ceshi/18466350)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"]
- *2* *3* [fastjson ＜= 1.2.80 反序列化任意代码执行漏洞](https://blog.csdn.net/qq_18209847/article/details/124952791)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"]
[ .reference_list ]