Fastjson远程拒绝效劳误差清静通告

宣布时间 2019-09-05

●误差编号和级别


CVE编号：暂无 ，，， ，，危险级别：高危 ，，， ，，CVSS分值：官方未评定


●影响版本


受影响的版本


Fastjson 1.2.60以下版本


●误差概述


Fastjson是阿里巴巴的开源JSON剖析库 ，，， ，，它可以剖析JSON名堂的字符串 ，，， ，，支持将Java Bean序列化为JSON字符串 ，，， ，，也可以从JSON字符串反序列化到JavaBean ，，， ，，由于具有执行效率高的特点 ，，， ，，应用规模很广。。。。。。。。


Fastjson 1.2.60版本以下保存字符串剖析异常 ，，， ，，可导致远程拒绝效劳攻击。。。。。。。。攻击者即可通过全心结构的请求包对使用Fastjson的效劳器造成远程拒绝效劳攻击 ，，， ，，使效劳器CPU/RAM过载 ，，， ，，导致效劳器宕机。。。。。。。。


●误差验证


暂无POC/EXP。。。。。。。。


●修复建议


升级Fastjson到1.2.60版本：https://github.com/alibaba/fastjson。。。。。。。。


●参考链接


https://github.com/alibaba/fastjson