一、概要

近日，华为云关注到fastjson官方Git发布新版本公告，披露了在fastjson < 1.2.66版本中存在新的反序列化远程代码执行漏洞，攻击者利用新的Gadgets，可实现远程代码执行漏洞。

华为云提醒使用fastjson的用户及时安排自检并做好安全加固。

参考链接：

https://github.com/alibaba/fastjson/releases/tag/1.2.66

二、威胁级别

威胁级别：【严重】

（说明：威胁级别共四级：一般、重要、严重、紧急） 

三、漏洞影响范围

影响版本：

fastjson < 1.2.66

安全版本:

fastjson 1.2.66

四、漏洞处置

目前官方已在最新版本中修复了该漏洞，请受影响的用户升级至安全版本。

下载地址：https://repo1.maven.org/maven2/com/alibaba/fastjson/1.2.66/

漏洞的利用前提是开启了autoType功能（在1.2.5x版本以上autoType默认是关闭状态），若用户开启了autoType功能，可通过关闭该功能进行临时规避，具体操作请参考以下两种方法：

1、 在项目源码中找到以下行代码并将其删除。

ParserConfig.getGlobalInstance().setAutoTypeSupport(true);

2、 在JVM中启动项目时，命令行中不添加autoType参数。

-Dfastjson.parser.autoTypeSupport=true

注：修复漏洞前请将资料备份，并进行充分测试。