Java的Fastjson庫爆高嚴重性RCE漏洞

Fastjson是一個 Java 庫，用於將 Java 物件轉換為其JSON表示形式，反之亦然。AutoType是易受該漏洞影響的函式，預設啟用，旨在在解析 JSON 輸入時指定自定義型別，然後將其反序列化為適當類的物件。

安全漏洞跟蹤號為CVE-2022-25845（CVSS 評分：8.1），專案維護者在2022 年 5 月 23 日釋出的1.2.83 版本中對其進行了修補。

這個漏洞影響到所有依賴Fastjson 1.2.80或更早版本的Java應用程式，以及將使用者控制的資料傳遞給JSON.parse或JSON.parseObject APIs，而沒有指定一個特定的類來反序列化。

雖然專案所有者之前引入了一種禁用 AutoType 的安全模式，並開始維護一個阻止反序列化漏洞的類列表，但新發現的漏洞繞過了這些限制中的後者，從而導致遠端程式碼執行。
Fastjson 的使用者建議更新到 1.2.83 版本或開啟 safeMode，無論使用白名單還是黑名單都會關閉該功能，有效關閉反序列化攻擊的變種。