fastjson 被曝存在远程代码执行漏洞,等级“高危”
fastjson 当前版本为 1.2.68 发布于 3 月底,日前某安全运营中心监测到,fastjson <= 1.2.68 版本存在远程代码执行漏洞,漏洞被利用可直接获取服务器权限。360CERT 将漏洞等级定为“高危”。
该远程代码执行漏洞原理是,autotype 开关的限制可以被绕过,链式反序列化攻击者可以通过精心构造反序列化利用链,最终达成远程命令执行。此漏洞本身无法绕过 fastjson 的黑名单限制,需要配合不在黑名单中的反序列化利用链才能完成完整的漏洞利用。
目前 fastjson 官方还未发布修复版本,使用者可以升级到 fastjson 1.2.68 版本,并通过配置 ParserConfig.getGlobalInstance().setSafeMode(true) 参数开启 SafeMode 防护攻击,不过需要注意的是 safeMode 会完全禁用 autotype,无视白名单,需要评估对业务影响的。
详情可以查看:
低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。
持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。
转载内容版权归作者及来源网站所有,本站原创内容转载请注明来源。
- 上一篇
.NET IDE Rider 公布 2020.2 路线图
跨平台 .NET IDERider 近日公布了 2020.2 的路线图,介绍了目前正在开发的一些特性,并表示其中一些可能在接下来的版本中出现。主要包括: Windows 上的 .NET Core 后端:Rider 2020.1 已在 macOS 和 Linux 上的 .NET Core 上运行ReSharper 后端。Windows 方面,后端仍在 .NET Framework 上运行,并使用NGen获得启动方面的改进。现在正在将后端也移至 Windows 上的 .NET Core,并准备使用CrossGen替代 NGen。 新的 Debugger API:DebuggerAPI 已被大量重写,允许增加更多功能,并且还允许插件加入调试过程,包括自定义值表示形式和改进的惰性值计算,具有更好的中断效果。 Pin-To-Frame:将扩展Pin-To-Top功能以跨帧固定值。在调试递归函数时,这将使我们能够观察不同迭代中值的状态: 数据断点:每当更改某个属性或字段时,就中断执行,而无需创建多个不同的语句断点。平台限制,目前可能仅适用于 Windows 上的 .NET Core 3+。 重新设...
- 下一篇
iOS14快来了,老唐漫谈盘点一下iOS的历代版本发展史
2007年,乔老爷子在回归苹果10年后,推出了初代iPhone和iPhone runs OS X(你没看错,初代还不叫iOS),iPhone带来了大规模的炒作,因为它们可以将iPad,相机,手机和互联网放入一个方形设备中,iPhone给人们带来对手机的全新认知,原来手机还可以这么用。 初代iPhone今天看起来胖乎乎的可爱 2008年3月,Apple发布了iPhone OS 2系统,并且为开发者提供了iOS软件开发包。鼓励开发者使用苹果官方提供的SDK开发原生应用。 二代iPhone,对比初代外观改动不大,App Store开始内嵌 Apple在当年7月推出App Store,这是iOS发展历史上的一个里程碑。它的出现开启了iOS和整个移动应用时代。收入三七分成的制度和良好的生态环境迅速吸引了大量iOS开发者。 最初,乔布斯并没有打算做 App Store,而是想做一个 Safari 浏览器的插件市场,他认为用户不必给 iPhone 安装软件,所有的需求在 Safari 浏览器里都能得到满足。后来, iPhone 被破解,各种越狱工具随之而来,最终乔布斯不得不妥协。 很快,iPhone...
相关文章
文章评论
共有0条评论来说两句吧...
文章二维码
点击排行
推荐阅读
最新文章
- Springboot2将连接池hikari替换为druid,体验最强大的数据库连接池
- SpringBoot2更换Tomcat为Jetty,小型站点的福音
- Docker安装Oracle12C,快速搭建Oracle学习环境
- CentOS7编译安装Gcc9.2.0,解决mysql等软件编译问题
- CentOS6,CentOS7官方镜像安装Oracle11G
- CentOS关闭SELinux安全模块
- CentOS7设置SWAP分区,小内存服务器的救世主
- CentOS7,CentOS8安装Elasticsearch6.8.6
- CentOS7编译安装Cmake3.16.3,解决mysql等软件编译问题
- Jdk安装(Linux,MacOS,Windows),包含三大操作系统的最全安装