FASTJSON反序列化遠端程式碼執行漏洞
阿新 • • 發佈：2022-05-26
【解決方案】
（1）升級到最新版本1.2.83，該版本涉及autotype行為變更，在某些場景會出現不相容的情況，如遇遇到問題可以到 https://github.com/alibaba/fastjson/issues 尋求幫助。升級連結：
https://github.com/alibaba/fastjson/releases/tag/1.2.83 。
（2）fastjson在1.2.68及之後的版本中引入了safeMode，配置safeMode後，無論白名單和黑名單，都不支援autoType，可杜絕反序列化Gadgets類變種攻擊（關閉autoType注意評估對業務的影響）。1.2.83修復了此次發現的漏洞，開啟safeMode是完全關閉autoType功能，避免類似問題再次發生，這可能會有相容問題，請充分評估對業務影響後開啟。開啟方法可參考：
https://github.com/alibaba/fastjson/wiki/fastjson_safemode 。
3、 可升級到fastjson v2 ：
https://github.com/alibaba/fastjson2/releases
相關連結：