Fastjson是阿里巴巴开源的一款高性能Java JSON解析库。
近日，监测到Fastjson远程代码执行漏洞。该漏洞源于Fastjson内部的类型处理机制存在可被利用的缺陷。过往所有Fastjson RCE均依赖目标classpath中存在特定"gadget类"，防御侧可通过黑名单或移除危险依赖来缓解。攻击者无需目标环境存在任何已知危险类，也无法通过类型绑定的调用形式加以阻止，单条构造payload即可触发代码执行。
建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。
二、影响范围
Fastjson <= 1.2.83
三、修复建议
建议升级至Fastjson2，以规避1.x系列存在的安全漏洞与反序列化风险。升级时需按官方迁移指南调整API调用及配置，并在测试环境完成功能与性能验证，确保业务无损。