【缝隙公告】Fastjson 1.x 反序列化远程代码执行缝隙
颁布功夫 2026-07-20一、缝隙概述
Fastjson是阿里巴巴开源的一款高机能Java JSON处置库 ，用于实现Java对象与JSON数据之间的急剧转换 ，宽泛利用于Web服务、API接口、微服务及企业级利用系统中。Fastjson 1.x曾因高机能和易用性被大量Java项目选取 ，但由于汗青版本存在屡次反序列化安全问题 ，Fastjson 1.x 分支已终场守护并归档 ，不再提供安全更新 ，建议迁徙至Fastjson 2.x或其他安全代替规划。
2026年7月20日 ，J9集团官网安全应急响应中心（VSRC）监测到Fastjson 1.x反序列化远程代码执行缝隙。其中1.2.68至1.2.83版本被发现存在无需依赖Classpath Gadget的反序列化远程代码执行缝隙。该缝隙利用链不依赖指标环境中预置的第三方组件或特定Gadget类 ，即便选取传统删除危险类、限度依赖库等缓解措施 ，也无法有效阻止攻击。攻击者可通过机关恶意JSON数据触发Fastjson不安全反序列化流程 ，在指标服务器上执行肆意代码 ，导致服务器齐全失陷、敏感数据泄露及业务系统被节造。由于Fastjson 1.x已于2024年10月终场守护且仓库归档 ，不再提供安全补丁 ，持续使用存在较高安全风险。
二、影响领域
1.2.68 <= Fastjson <= 1.2.83（已确认）。
三、安全措施
3.1 升级版本
将Fastjson 1.x 迁徙至 Fastjson 2.x 或其他安全 JSON 解析库（如 Jackson）。
对项目依赖进行全面排查 ，预防持续使用Fastjson 1.x。
下载链接：
https://github.com/alibaba/fastjson2/
3.2 一时措施
不容表部不成信JSON 数据直接进入 Fastjson 反序列化流程 ；
关关AutoType 职能 ；
对接口输入进行严格校验 ；
通过WAF 或 API 网关限度异常 JSON 要求。
3.3 通用建议
定期更新系统补丁 ，削减系统缝隙 ，提升服务器的安全性。
加强系统和网络的接见节造 ，批改防火墙战术 ，关关非必要的利用端口或服务 ，削减将危险服务（如SSH、RDP等）露出到公网 ，削减攻击面。
使用企业级安全产品 ，提升企业的网络安全机能。
加强系统用户和权限治理 ，启用多成分认证机造和最幼权限准则 ，用户和软件权限应维持在最低限度。
启用强密码战术并设置为定期批改。
3.4 参考链接
https://x.com/k_firsov/status/2078872293745570032
京公网安备11010802024551号