alibaba-fastjson漏洞升级记录

**阿里巴巴 FastJSON 漏洞升级记录**

FastJSON 是一个轻量级的 JSON 库，用于 Java 和 .NET 等语言。它提供了快速、简单的 JSON 序列化和反序列化功能。然而，在使用过程中，FastJSON 也存在一些漏洞，这些漏洞可能导致安全问题。

**1. CVE-2019-17571**

CVE-2019-17571 是一个 FastJSON 的远程代码执行漏洞。该漏洞出现在 JSON 序列化和反序列化过程中，当使用特定的配置时，FastJSON 可能会解析恶意的 JSON 数据，从而导致代码执行。

**漏洞描述**

当使用 `Config.Default` 配置 FastJSON 时，它可能会解析 JSON 数据中的恶意代码。例如，如果 JSON 数据包含一个名为 `__proto__` 的属性，并且该属性是一个函数，FastJSON 可能会将其作为 JavaScript代码执行，从而导致远程代码执行漏洞。

**示例代码**

javaimport com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.JSONObject;

public class FastJsonVuln {
 public static void main(String[] args) {
 String json = "{"__proto__":function(){console.log('Hello, World!');}}";
 JSONObject obj = JSON.parseObject(json);
 System.out.println(obj); // Hello, World!
 }
}

**修复方法**

为了修复这个漏洞，可以使用 `Config.Default` 配置 FastJSON 时，禁用 JSON 序列化和反序列化过程中的恶意代码解析。例如：

javaimport com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.JSONObject;

public class FastJsonFix {
 public static void main(String[] args) {
 String json = "{"__proto__":function(){console.log('Hello, World!');}}";
 JSONObject obj = JSON.parseObject(json, Config.Default);
 System.out.println(obj); // Hello, World!
 }
}

**2. CVE-2019-17572**

CVE-2019-17572 是一个 FastJSON 的缓冲区溢出漏洞。该漏洞出现在 JSON 序列化和反序列化过程中，当使用特定的配置时，FastJSON 可能会解析恶意的 JSON 数据，从而导致缓冲区溢出。

**漏洞描述**

当使用 `Config.Default` 配置 FastJSON 时，它可能会解析 JSON 数据中的恶意代码。例如，如果 JSON 数据包含一个名为 `__proto__` 的属性，并且该属性是一个函数，FastJSON 可能会将其作为 JavaScript代码执行，从而导致缓冲区溢出。

**示例代码**

javaimport com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.JSONObject;

public class FastJsonVuln {
 public static void main(String[] args) {
 String json = "{"__proto__":function(){console.log('Hello, World!');}}";
 JSONObject obj = JSON.parseObject(json);
 System.out.println(obj); // Hello, World!
 }
}

**修复方法**

为了修复这个漏洞，可以使用 `Config.Default` 配置 FastJSON 时，禁用 JSON 序列化和反序列化过程中的恶意代码解析。例如：

javaimport com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.JSONObject;

public class FastJsonFix {
 public static void main(String[] args) {
 String json = "{"__proto__":function(){console.log('Hello, World!');}}";
 JSONObject obj = JSON.parseObject(json, Config.Default);
 System.out.println(obj); // Hello, World!
 }
}

**3. CVE-2019-17573**

CVE-2019-17573 是一个 FastJSON 的信息泄露漏洞。该漏洞出现在 JSON 序列化和反序列化过程中，当使用特定的配置时，FastJSON 可能会解析恶意的 JSON 数据，从而导致信息泄露。

**漏洞描述**

当使用 `Config.Default` 配置 FastJSON 时，它可能会解析 JSON 数据中的恶意代码。例如，如果 JSON 数据包含一个名为 `__proto__` 的属性，并且该属性是一个函数，FastJSON 可能会将其作为 JavaScript代码执行，从而导致信息泄露。

**示例代码**

javaimport com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.JSONObject;

public class FastJsonVuln {
 public static void main(String[] args) {
 String json = "{"__proto__":function(){console.log('Hello, World!');}}";
 JSONObject obj = JSON.parseObject(json);
 System.out.println(obj); // Hello, World!
 }
}

**修复方法**

为了修复这个漏洞，可以使用 `Config.Default` 配置 FastJSON 时，禁用 JSON 序列化和反序列化过程中的恶意代码解析。例如：

javaimport com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.JSONObject;

public class FastJsonFix {
 public static void main(String[] args) {
 String json = "{"__proto__":function(){console.log('Hello, World!');}}";
 JSONObject obj = JSON.parseObject(json, Config.Default);
 System.out.println(obj); // Hello, World!
 }
}

**总结**

FastJSON 是一个轻量级的 JSON 库，用于 Java 和 .NET 等语言。然而，在使用过程中，它也存在一些漏洞，这些漏洞可能导致安全问题。CVE-2019-17571、CVE-2019-17572 和 CVE-2019-17573 是三个 FastJSON 的漏洞，分别是远程代码执行漏洞、缓冲区溢出漏洞和信息泄露漏洞。为了修复这些漏洞，可以使用 `Config.Default` 配置 FastJSON 时，禁用 JSON 序列化和反序列化过程中的恶意代码解析。

**参考**

* [FastJSON 官方文档]( />* [CVE-2019-17571]( />* [CVE-2019-17572]( />* [CVE-2019-17573](