CSSA 독점 조기 경보9.8 치명적
fastjson2 autoType 허용 목록 검증 결함으로 원격 코드 실행에 이름
이 취약점은 기본 설정에서 SupportAutoType이 활성화되지 않았을 때, fastjson2의 AutoType 비활성 검증 분기가 FNV-1a 증분 해시와 기본 수용 해시를 이용한 접두사 일치만 수행하고, 일치 이후 입력 텍스트가 실제로 허용 목록의 클래스명과 같은지 재검증하지 않는 데서 비롯됩니다. 공격자는 임의의 접두사에 대해 FNV chosen-prefix 해시 충돌을 구성해 jar:/file:/http: 같은 URL 형태의 타입명을 JSON 요청 본문의 @type 필드에 주입할 수 있습니다. 해당 문자열은 애플리케이션의 컨텍스트 클래스 로더에 의해 로드·해석되어 최종적으로 서버 측에서 임의의 원격 코드 실행을 발동시킵니다. 악용에는 인증도 사용자 상호작용도 필요 없고 대상 시스템에 알려진 위험 클래스가 존재할 필요도 없으며, 공격자가 JSON 요청 본문을 제어할 수 있다는 것만이 조건입니다.
컴포넌트
fastjson2는 알리바바가 오픈소스로 공개한 고성능 Java JSON 직렬화·역직렬화 라이브러리입니다. 아키텍처는 스트림 해석과 증분 해시 검증 메커니즘을 채택했고, 객체 매핑, 타입 자동 추론, AutoType 보안 정책 관리를 핵심 역량으로 합니다. 표준화된 인…
유형
Deserialization of Untrusted Data (CWE-502)
저장소
github.com/alibaba/fastjson2 · Star 4343
대응 방안
- PR #7695 패치를 참조하십시오. 이 패치는 ContextAutoTypeBeforeHandler와 ObjectReaderProvider에 acceptNameSet 허용 목록 텍스트 재검증을 추가하고, 타입명에 ':' 또는 '!'가 포함되면 즉시 거부해 FNV chosen-prefix 해시 충돌 우회를 차단합니다. 임시 완화책으로는 SafeMode 활성화(JVM 인자 -Dfastjson2.parser.safeMode=true)나 noneautotype 빌드로 전환해 AutoType을 완전히 비활성화하는 방법이 있으며, 아울러 WAF 계층에서 @type 키를 포함한 JSON 요청 본문을 차단하십시오. 또한 역직렬화 입력에 엄격한 타입 허용 목록을 적용하고, 불필요한 클래스 로딩 경로를 제거하며, RASP·DAST 등 보안 모니터링으로 의심스러운 @type 페이로드를 지속적으로 탐지할 것을 권장합니다.
