刚推业务修好 fastjson 1.2.83 的 RCE 漏洞，修复建议里是升级到 2😂现在 2 也沦陷了。。。
长亭科技的漏洞通告：https://mp.weixin.qq.com/s/LJaul1jNjK9pXRAkoUiMEA
fastjson 官方的说明：https://github.com/alibaba/fastjson2/issues/7702
现在漏洞还没修复，官方也没发布新版本，解决方法只有开启 safemode 。。。所以之前 1.2.83 升级 2 的方案也是无法解决问题的
官方称“在特定条件下可能被利用”，但长亭科技的文章里说的是“默认配置”、“全 JDK 版本通杀 RCE”，所以建议不要有侥幸心理。
 |
1
526457385 10h 43m ago
算了，以后真的不再用国产的东西了，优先考虑国外的
|
 |
2
longaiwp 10h 33m ago
真给逗乐了，刚全部升级完，又要再升级一次，开发和运维要疯了。
|
 |
5
ZYXDemo 10h 17m ago
经历了相同的事情
|
 |
6
DeepSIeep 10h 11m ago
绝了，公司全员升级，还没弄完呢，又出来。搞不明白有同事那么偏爱 fastjson
|
 |
7
zhuangzhuang1988 9h 38m ago
@DeepSIeep 迷信阿里...
|
 |
8
ruanimal 9h 20m ago  1
你就说快不快吧！
|
 |
9
owen800q 9h 17m ago via iPhone
为什么 Python 一句 json.load json.dump 的事在 Java 要搞得那么复杂？ 没听过 Python json load 能整出个 RCE 的
@DeepSIeep |
 |
10
xiangyuecn 8h 26m ago
|
Select Language