fastjson 被曝存在远程代码执行漏洞，等级“高危”-低调大师

fastjson 被曝存在远程代码执行漏洞，等级“高危”

2020-05-31 773

fastjson 当前版本为 1.2.68 发布于 3 月底，日前某安全运营中心监测到，fastjson <= 1.2.68 版本存在远程代码执行漏洞，漏洞被利用可直接获取服务器权限。360CERT 将漏洞等级定为“高危”。

该远程代码执行漏洞原理是，autotype 开关的限制可以被绕过，链式反序列化攻击者可以通过精心构造反序列化利用链，最终达成远程命令执行。此漏洞本身无法绕过 fastjson 的黑名单限制，需要配合不在黑名单中的反序列化利用链才能完成完整的漏洞利用。

目前 fastjson 官方还未发布修复版本，使用者可以升级到 fastjson 1.2.68 版本，并通过配置 ParserConfig.getGlobalInstance().setSafeMode(true) 参数开启 SafeMode 防护攻击，不过需要注意的是 safeMode 会完全禁用 autotype，无视白名单，需要评估对业务影响的。

详情可以查看：

微信关注我们

原文链接：https://www.oschina.net/news/116066/fastjson-rec

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

.NET IDE Rider 公布 2020.2 路线图

跨平台 .NET IDERider 近日公布了 2020.2 的路线图，介绍了目前正在开发的一些特性，并表示其中一些可能在接下来的版本中出现。主要包括： Windows 上的 .NET Core 后端：Rider 2020.1 已在 macOS 和 Linux 上的 .NET Core 上运行ReSharper 后端。Windows 方面，后端仍在 .NET Framework 上运行，并使用NGen获得启动方面的改进。现在正在将后端也移至 Windows 上的 .NET Core，并准备使用CrossGen替代 NGen。新的 Debugger API：DebuggerAPI 已被大量重写，允许增加更多功能，并且还允许插件加入调试过程，包括自定义值表示形式和改进的惰性值计算，具有更好的中断效果。 Pin-To-Frame：将扩展Pin-To-Top功能以跨帧固定值。在调试递归函数时，这将使我们能够观察不同迭代中值的状态：数据断点：每当更改某个属性或字段时，就中断执行，而无需创建多个不同的语句断点。平台限制，目前可能仅适用于 Windows 上的 .NET Core 3+。重新设...

2020-05-31

630

2007年，乔老爷子在回归苹果10年后，推出了初代iPhone和iPhone runs OS X(你没看错，初代还不叫iOS)，iPhone带来了大规模的炒作，因为它们可以将iPad，相机，手机和互联网放入一个方形设备中，iPhone给人们带来对手机的全新认知，原来手机还可以这么用。初代iPhone今天看起来胖乎乎的可爱 2008年3月，Apple发布了iPhone OS 2系统，并且为开发者提供了iOS软件开发包。鼓励开发者使用苹果官方提供的SDK开发原生应用。二代iPhone，对比初代外观改动不大，App Store开始内嵌 Apple在当年7月推出App Store，这是iOS发展历史上的一个里程碑。它的出现开启了iOS和整个移动应用时代。收入三七分成的制度和良好的生态环境迅速吸引了大量iOS开发者。最初，乔布斯并没有打算做 App Store，而是想做一个 Safari 浏览器的插件市场，他认为用户不必给 iPhone 安装软件，所有的需求在 Safari 浏览器里都能得到满足。后来， iPhone 被破解，各种越狱工具随之而来，最终乔布斯不得不妥协。很快，iPhone...

2020-05-31

977

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。