FastJson 远程代码执行漏洞分析报告

2019-07-12 19:17

报告编号：B6-2019-071201

报告来源：360-CERT

报告作者：360-CERT

更新日期：2019-07-12

0x00 漏洞背景

约 15 日前，知名 Java JSON 组件 FastJson autotype 的问题再度被提及。

fastjson 在处理 json 对象的时候 @type 字段的处理上存在一些问题。导致远程代码执行。

据了解，该漏洞已在 2018 年 10 月完成修复。目前，漏洞利用方式被公开且该组件使用量巨大。

但该漏洞目前披露的漏洞方式依赖于 rmi。而 Java 自身的安全机制早已限制 rmi 的相关活动。

360CERT 判断该漏洞危害严重。影响面有限。

建议广大用户对自身的业务/产品进行组件自查，确认 fastjson 版本至少升级到 1.2.58。

0x01 影响版本

fastjson < 1.2.48

0x02 漏洞详情

此处仅针对一种情况进行了分析和验证，可能还有其他复数的利用方式没有涵盖。建议广大用户及时升级，避免资产受到损害。

fastjson 中负责处理的一般都是 DefaultJSONParser.parseObject

此处判断如果含有 @type 标记，就把 value 作为类来加载。

而传入的值通过了this.config.checkAutoType 的校验，成功返回对应的 class 并赋值给 clazz。

通过 this.config.getDeserializer 获得反序列化的路由类 MiscCodec，依据获得 clazz 的类型处理。当在这里为 Class.class 的时候便会调用 TypeUtils.loadClass

fastjson 受影响版本中 TypeUtils.loadClass cache 参数默认为 True

此处就会将对应的 objVal-> strVal 的值进行加载，并且缓存进 mapping。

由于这类函数在实现的时候，设计模式一般都以递归/循环逐层的方式去处理，让代码机构清晰，且高效。那么第二个字段@type在进入的时候，因为第一层的处理 mapping 中已经多了对应的值。this.config.checkAutoType 在工作的时候。正常情况都拿不到 clazz。然后就去 mapping 中寻找