其他分享
首页 > 其他分享> > fastjson又被发现漏洞,这次危害可能会导致服务瘫痪

fastjson又被发现漏洞,这次危害可能会导致服务瘫痪

作者:互联网

0x00 漏洞背景

2019年9月5日,fastjson在commit 995845170527221ca0293cf290e33a7d6cb52bf7上提交了旨在修复当字符串中包含\\x转义字符时可能引发OOM的问题的修复。

360CERT 判断该漏洞危害中。影响面较大。攻击者可以通过发送构造好的请求而致使当前线程瘫痪,当发送的恶意请求过多时有可能使业务直接瘫痪。

建议广大用户对自身的业务/产品进行组件自查,确认fastjson版本至少升级到1.2.60

0x01 漏洞详情

漏洞的关键点在com.alibaba.fastjson.parser.JSONLexerBase#scanString中,当传入json字符串时,fastjson会按位获取json字符串,当识别到字符串为\\x为开头时,会默认获取后两位字符,并将后两位字符与\\x拼接将其变成完整的十六进制字符来处理:

fastjson又被发现漏洞,这次危害可能会导致服务瘫痪

 

而当json字符串是以\\x结尾时,由于fastjson并未对其进行校验,将导致其继续尝试获取后两位的字符。也就是说会直接获取到\\u001A也就是EOF:

fastjson又被发现漏洞,这次危害可能会导致服务瘫痪

 

当fastjson再次向后进行解析时,会不断重复获取EOF,并将其写到内存中,直到触发oom错误:

fastjson又被发现漏洞,这次危害可能会导致服务瘫痪

 

最终效果为:

fastjson又被发现漏洞,这次危害可能会导致服务瘫痪

 

0x02 影响版本

fastjson < 1.2.60版本

0x03 修复建议

0x04 时间线

2019-09-03 fastjson提交修补commit

2019-09-05 360CERT发布预警

2019-09-07 周末加班升级!

PS:jackson最近也发布了多个版本进行漏洞修复。

标签:fastjson,1.1,1.2,瘫痪,sec06,漏洞,版本
来源: https://www.cnblogs.com/hulianwangjiagoushi/p/11492671.html