一 漏洞概述

1.漏洞简介

近日，Fastjson被传爆出新的“0day”，引起了大家的高度关注。此次的漏洞并不算新的漏洞，其实官方早在去年五月就已经推出了相关补丁修复，可能由于没有发布相关的安全通告，导致许多用户没有及时升级处理。

此次漏洞利用的核心点是java.lang.class这个java的基础类，在fastjson 1.2.48以前的版本没有做该类做任何限制，加上代码的一些逻辑缺陷，造成黑名单以及autotype的绕过。

2.影响版本

Fastjson <=1.2.47

二 漏洞危害

黑客通过利用漏洞可以实现远程代码执行。

三 修复建议

1.ScanV平台已支持该漏洞检测。
2.Fastjson在1.2.47及以下的版本受影响，请及时升级到1.2.48及以上版本。