GCSA Global Cybersecurity Alliance veröffentlichte einen Bericht, der einen Fastjson 1.2.83 RCE-Exploit detailliert beschreibt, der über mehrere JDK-Versionen hinweg reproduziert wurde.
Die GCSA Global Cybersecurity Alliance hat heute exklusiv einen technischen Einblicksbericht veröffentlicht: Fastjson 1.2.83 kann Remote-Code-Ausführung (RCE) auslösen, ohne auf traditionelle Gadget-Abhängigkeiten angewiesen zu sein, selbst mit der Standardeinstellung AutoType=false. Diese Exploit-Technik wurde erfolgreich Ende-zu-Ende auf JDK 8, 17, 21 und 25 sowie in Spring Boot Loader-Isolierungsumgebungen reproduziert.
Diese Schwachstelle ist kein traditioneller „Blacklist umgehen, um ein lokales Gadget zu finden“-Angriff. Stattdessen untergräbt sie direkt die eigene Klassenmetadaten-Erkennungslogik von Fastjson, um als Kanal für den Erwerb entfernter bösartiger Klassen zu dienen. Ein Angreifer, der die von Fastjson geparste JSON-Eingabe kontrollieren kann – mit deaktiviertem SafeMode und verfügbarem ausgehendem Netzwerkzugriff – kann ohne Authentifizierung Remote-Code-Ausführung erreichen, ohne dass vorinstallierte traditionelle Gadget-Abhängigkeiten (wie TemplatesImpl, JNDI oder Commons Collections) im Ziel-Classpath erforderlich sind.
Reproduktionsergebnisse bestätigen, dass dieselbe JSON-Payload erfolgreiche RCE auf Temurin JDK 8, 17, 21 und 25 mit Spring Boot Loader-Umgebungen erreicht. Die Schwachstelle wird als schwerwiegend eingestuft: Der Angriffsvektor ist netzwerkfern, erfordert keine Benutzerinteraktion, und die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden alle als hoch eingestuft.
Wichtigste Erkenntnisse
„AutoType ist standardmäßig deaktiviert, also ist es sicher“ — Ungültig
„Fixierter parseObject zweiter Parameter, also ist es sicher“ — Ungültig
„Keine bekannten Gadgets im Classpath, also ist es sicher“ — Ungültig
„JDK 17+ lehnt http:// interne Namen ab, also ist es höchstens SSRF“ — Ungültig
Verteidigungsempfehlungen
- Sofort SafeMode aktivieren: ParserConfig.getGlobalInstance().setSafeMode(true);
- Vorrangig auf Fastjson 2.x migrieren und Regressionstests abschließen
- Ausgehende Netzwerkrichtlinien einschränken: JVM-HTTP-Verbindungen zu nicht wesentlichen externen Adressen blockieren
- WAF/Gateway-Regeln bereitstellen, um JSON-Anfragen zu blockieren, bei denen der decodierte Schlüssel @type entspricht
