„`html
Zusammenfassung
Eine kritische Remote Code Execution (RCE) Schwachstelle wurde in fastjson Version 1.2.68 bis 1.2.83 identifiziert. Die Vulnerabilität ermöglicht die Ausführung beliebigen Codes durch Netzwerkzugriff ohne Aktivierung von AutoType oder zusätzliche Classpath-Gadgets. Dies stellt eine erhebliche Sicherheitsbedrohung dar, da die Standard-Konfiguration bereits exploitierbar ist.
Betroffene Systeme
Die Vulnerabilität betrifft alle Systeme mit folgenden fastjson-Versionen:
- fastjson 1.2.68 bis 1.2.83
- Alle Konfigurationen mit Standard-Einstellungen
- Anwendungen, die fastjson zur JSON-Serialisierung/Deserialisierung nutzen
Technische Details
Die Schwachstelle liegt in der Deserialisierungslogik von fastjson. Ein Angreifer kann speziell präparierte JSON-Payloads senden, die bei der Verarbeitung zur Ausführung beliebigen Codes führen. Der kritische Aspekt ist, dass keine zusätzlichen Bedingungen erfüllt sein müssen – weder AutoType-Enablement noch spezifische Classpath-Gadgets sind erforderlich.
CVSS-Score: 9.0 (Kritisch)
Angriffsvektor: Netzwerk
Authentifizierung: Nicht erforderlich
Empfohlene Massnahmen
- Sofortige MaĂźnahmen: Eingabevalidierung und WAF-Regeln implementieren
- Netzwerk-Segmentierung: Zugriff auf fastjson-basierte Services einschränken
- Monitoring: Verdächtige JSON-Payloads und Prozessausführungen überwachen
- Update: Auf eine gepatchte Version wechseln oder Upgrade-Plan erstellen
- Workaround: Falls kein Patch verfügbar: Deserialisierung auf Basis-Datentypen beschränken
Bewertung
Diese Vulnerabilität erfordert sofortige Aufmerksamkeit. Der fehlende Patch und die Ausnutzbarkeit unter Standard-Konfiguration machen sie zu einer kritischen Bedrohung. Alle betroffenen Systeme sollten inventarisiert und priorisiert werden. Eine Risikoanalyse ist dringend notwendig, um kritische Services zu identifizieren und zu schützen.
„`