【已复现】Fastjson2 远程代码执行漏洞

安恒信息CERT

2026年7月27日 17:58
浙江

在小说阅读器读本章

去阅读

该产品主要使用客户行业分布广泛，漏洞危害性极高，建议客户尽快做好自查及防护。

安恒研究院卫兵实验室已通过恒脑.零日雷达复现此漏洞。

漏洞信息

Fastjson2 是阿里巴巴开源的高性能 Java JSON 解析库，广泛应用于后端接口数据解析、微服务序列化、缓存对象存储等场景，凭借解析效率高、兼容性强的优势被大量政企及互联网项目依赖。此次曝光的 Fastjson2 远程代码执行高危漏洞，根源在于 AutoType 校验仅依靠 FNV-1a 哈希值匹配白名单，未校验类名字符串，攻击者可通过带 @type 字段的恶意 JSON 绕过限制，加载恶意类实现远程代码执行，风险等级极高。建议尽快升级至安全版本，关闭 AutoType 自动类型推断，做好外部输入过滤与依赖自查，防范服务器被非法控制。

漏洞描述

漏洞危害等级：严重

漏洞类型：远程代码执行

影响范围

影响版本：fastjson <= 2.0.62

CVSS向量

访问途径（AV）：网络

攻击复杂度（AC）：低

所需权限（PR）：无需任何权限

用户交互（UI）：不需要用户交互

影响范围（S）：不变

机密性影响（C）：高

完整性影响（I）：高

可用性影响（A）：高

修复方案

官方修复方案

截至 2026-07-27，Maven Central 元数据显示 com.alibaba.fastjson2:fastjson2 最新发布版本为 2.0.62，GitHub Releases 页面最新公开 Release 为 2.0.61，暂未确认存在已发布的正式安全版本。官方仓库 PR #7695 提供了 AutoType 类型名校验和白名单文本校验加固补丁，涉及 ObjectReaderProvider、ContextAutoTypeBeforeHandler 和 TypeUtils.loadClass；建议持续关注官方正式 Release，或在充分测试后临时应用 PR #7695 对应补丁提交 6fc6f9502b68f7cb6057067217ea057d6a58b083。

信息来源：https://github.com/alibaba/fastjson2/pull/7695/changes

临时缓解方案

在官方正式安全版本发布并完成升级前，建议采取基于漏洞暴露面的保守缓解措施： 1.启用 SafeMode (Fastjson 1.2.68+ 支持): JVM 参数: -Dfastjson.parser.safeMode=true 配置文件: fastjson.parser.safeMode=true SafeMode完全禁用 AutoType 功能，从根本上杜绝此类反序列化风险。注意:开启SafeMode后@type字段将被完全拒绝，请确认业务不依赖AutoType功能。2.WAF 规则配置:拦截请求体中key 包含@type字段的JSON数据。@type是FastjsonautoType机制的触发键，历史上所有相关RCE均依赖此字段。注意需同时覆盖URL参数和请求体两个位置，并注意编码绕过。

信息来源：https://github.com/alibaba/fastjson2/pull/7695.patch

参考资料

https://github.com/alibaba/fastjson2/pull/7695/changes

https://github.com/alibaba/fastjson2/pull/7695.patch

https://repo1.maven.org/maven2/com/alibaba/fastjson2/fastjson2/maven-metadata.xml

https://github.com/alibaba/fastjson2/releases

技术支持

如有漏洞相关需求支持请联系400-6059-110获取相关能力支撑。