一、漏洞详情

Fastjson是阿里巴巴开源的Java对象和JSON格式字符串的快速转换的工具库。可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。

近日，Fastjson官方发布安全公告，修复了一处反序列化漏洞，攻击者在特定条件下可绕过默认autoType关闭限制，利用该漏洞攻击远程服务器，风险较大。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

Fastjson <= 1.2.80

三、修复建议

官方修复建议：

1.可升级到Fastjson v2 ，下载地址：https://github.com/alibaba/fastjson2/releases

2.升级到最新版本1.2.83 https://github.com/alibaba/fastjson/releases/tag/1.2.83 。该版本涉及autotype行为变更，在某些场景会出现不兼容的情况。

3.配置safeMode，Fastjson在1.2.68及之后的版本中引入了safeMode，开启safeMode配置后，无论白名单和黑名单，都不支持autoType，可杜绝反序列化Gadgets类变种攻击。（注意：关闭autoType请评估对业务的影响。）