Java之服务漏洞

1、fastjson

(1).【漏洞预警】fastjson < 1.2.60 远程拒绝服务漏洞

近日，阿里云应急响应中心监测到fastjson爆出远程拒绝服务漏洞，攻击者在请求中构造特定json字符串，可远程造成服务器内存和CPU等资源耗尽，最终拒绝服务。官方已发布公告说明，最新的1.2.60和带有sec06字符的版本不受影响，请使用到的用户尽快升级至安全版本。

• 漏洞描述：
  fastjson处理\x转义字符不当，攻击者在请求中构造特定json字符串可导致服务器内存和CPU等资源耗尽，最终拒绝服务。阿里云应急响应中心提醒fastjson用户尽快采取安全措施阻止漏洞攻击。

• 影响版本：
  fastjson < 1.2.60
  fastjson sec版本 < sec06

• 安全版本：
  fastjson >= 1.2.60
  fastjson sec版本 >= sec06

• 安全建议：
  注意：较低版本升级至最新版本1.2.60可能会出现兼容性问题，建议升级至特定版本的sec06 bugfix版本
  升级至安全版本，参考下载链接：http://repo1.maven.org/maven2/com/alibaba/fastjson/

(2).【漏洞预警】fastjson < 1.2.61 反序列化远程代码执行漏洞

近日，阿里云应急响应中心监测到fastjson官方git披露fastjson存在最新反序列化远程代码执行漏洞攻击Gadgets，利用该最新的Gadgets，攻击者可远程执行服务器任意命令，继而控制服务器权限，风险极大。官方已发布最新版本1.2.61修复该漏洞，请使用到fastjson的用户尽快升级至安全版本。

• 漏洞描述：
  fastjson采用黑名单的方法来防御反序列化漏洞，导致当黑客不断发掘新的可攻击的反序列化Gadgets类时，则可轻松绕过黑名单防御机制，反序列化漏洞就会再次出现。阿里云应急响应中心提醒fastjson用户尽快采取安全措施阻止漏洞攻击。

• 影响版本：
  fastjson < 1.2.61

• 安全版本：
  fastjson >= 1.2.61

• 安全建议：
  升级至安全版本，参考下载链接：http://repo1.maven.org/maven2/com/alibaba/fastjson/

• 相关链接：
  https://github.com/alibaba/fastjson/releases/tag/1.2.61

• 其它：
  云盾WAF已可防御此漏洞攻击
  云盾网站威胁扫描系统已支持对该漏洞检测
  云盾云安全中心应急漏洞模块已支持对该漏洞一键检测

附件：预警平台

• 1、阿里云：https://help.aliyun.com/noticelist/9004748.html