安全预警 | Fastjson2 2.0.62 及以下版本远程代码执行风险预警

原创

知其安安全研究院
知其安安全研究院

知其安科技

2026年7月27日 18:50
北京

在小说阅读器读本章

去阅读

0x1 风险概述

近日，知其安监测到情报社区披露Fastjson2远程代码执行漏洞。根据公开通告，攻击者可能在无需身份认证、无需用户交互的情况下，通过向使用Fastjson2处理外部JSON数据的接口发送恶意请求触发远程代码执行。

公开信息显示，该风险与Fastjson2的AutoType类型名称校验逻辑有关。部分校验分支主要依据FNV-1a哈希值匹配白名单前缀，命中后未进一步核对实际文本；攻击者可能利用哈希碰撞构造特殊类型名称，使包含URL特殊字符的字符串进入应用上下文类加载器，进而造成远程类加载和代码执行风险。

Fastjson2维护者已提交安全加固代码，主要包括拒绝类型名称中的 : 、!等URL特殊字符，在哈希命中后增加白名单原文校验，以及在未开启SupportAutoType 的分支补充 ClassLoader、DataSource和 RowSet等危险类型检查。上述改动从代码层面印证了相关校验路径存在安全风险。

截至2026年7月27日，公开渠道尚未披露完整漏洞原理、稳定利用代码及CVE 编号。相关修复PR已关闭但未合并，对应代码尚未进入Fastjson2主分支；Maven Central当前最新版本仍为2.0.62，暂未发现可直接升级的正式修复版本。实际利用对应用类加载器、部署方式及运行环境的具体要求仍需进一步确认。

披露时间：2026年7月27日
涉及组件：Fastjson2
影响版本：据公开通告，Fastjson2 2.0.62及以下版本
可能利用条件：外部可控JSON数据进入Fastjson2反序列化流程，恶意@type类型名称能够进入相关校验与类加载路径，且未启用SafeMode
权限要求：无需身份认证，具体取决于业务接口的访问控制
风险等级：高风险

0x2 排查与防护建议

排查互联网暴露系统、API 接口、微服务及第三方产品中是否使用com.alibaba.fastjson2:fastjson2，同时关注通过com.alibaba:fastjson 2.x兼容包间接引入Fastjson2的场景。
重点检查接收外部JSON数据、反序列化目标类型为Object或其他宽泛类型，以及使用@type、AutoType白名单或自定义AutoTypeBeforeHandler的业务接口。
在完成兼容性验证后，建议通过JVM参数启用SafeMode，阻断AutoType 类型解析路径：

-Dfastjson2.parser.safeMode=true

在正式修复版本发布前，可结合业务情况在WAF、IPS等边界设备上监测或拦截JSON请求中异常的@type字段，重点关注类型名称中出现jar:http、jar:https、:、! 等远程资源或JAR URL特征。直接禁止全部@type可能影响正常业务，实施前应完成回归验证。
限制应用服务器非必要的HTTP、HTTPS等出站访问，降低攻击者通过远程资源加载完成利用的可能性，并加强对 Java 进程异常外联、子进程启动、文件写入和类加载异常的监测。
持续关注Fastjson2官方安全通告及正式版本发布。当前2.0.62仍属于公开通告所列影响范围，不能将“升级到当前最新版”视为修复措施。官方发布包含安全修复的稳定版本后，应尽快完成升级和回归测试。