CVE-2026-16723: Kritisk Fastjson-sårbarhed udnyttes aktivt – ingen rettelse tilgængelig

Udnyttelseskarakteristika

Denne sårbarhed adskiller sig fra tidligere Fastjson-udnyttelser på tre vigtige måder:

• Ingen AutoType påkrævet: I modsætning til tidligere Fastjson RCE'er fungerer denne sårbarhed under standardkonfigurationen — AutoType behøver ikke at være aktiveret .
• Ingen klasse-gadgets påkrævet: Udnyttelsen er ikke afhængig af tredjeparts klasse-gadgets på klassestien .
• Ingen autentificering, ingen brugerinteraktion: En uautentificeret angriber kan sende en manipuleret JSON-nyttelast over netværket og opnå RCE uden nogen brugerhandling .

Berørt implementeringskonfiguration

Udnyttelsen er ikke universel på tværs af al Fastjson-brug. Den kræver alle følgende betingelser :

1. Fastjson 1.2.68–1.2.83 i brug.
2. Applikation implementeret som en Spring Boot executable fat-JAR.
3. SafeMode deaktiveret (hvilket er standard).
4. Eksternt kontrolleret JSON når en Fastjson-parserindgang (f.eks. JSON.parse, JSON.parseObject).

Standard ikke-fat-JAR-implementeringer, WAR-implementeringer på Tomcat/Jetty og generiske uber-JAR'er er ikke berørt .

Bekræftet påvirkning: Spring Boot 2.x–4.x på tværs af JDK 8 til JDK 21. Sårbarheden ligger i selve Fastjson-biblioteket, ikke i JDK, så alle understøttede JDK-versioner med sårbar Fastjson er i risiko .

Aktiv udnyttelse i felten

• Observeret målretning: ThreatBook og Imperva har observeret aktiv udnyttelse primært rettet mod amerikanske organisationer .
• Brancher under angreb: Finansielle tjenester, sundhedssektor, computing/teknologi og detailhandel .
• Tidslinje: Angribere begyndte at udnytte fejlen inden for cirka én dag efter offentliggørelsen (19.–20. juli 2026) .
• IOC'er tilgængelige: Threadlinqs Intelligence sporer 23 indikatorer på kompromittering og 9 detektionsregler (Splunk SPL, Microsoft KQL, Sigma) .

Anbefalede afværgeforanstaltninger (ingen rettelse tilgængelig)

Da Alibaba ikke har udsendt en rettet 1.x Fastjson-udgivelse, må organisationer anvende en af følgende workarounds :

1. Aktivér SafeMode — Indstil JVM-systemegenskaben -Dfastjson.parser.safeMode=true. Dette deaktiverer al deserialisering af vilkårlige klasser .
2. Brug den begrænsede bygning — Erstat standardartefakten med com.alibaba:fastjson:1.2.83_noneautotype, en speciel bygning, der fjerner AutoType-understøttelse helt .
3. Migrér til Fastjson 2.x — Fastjson 2.x er arkitektonisk immun over for denne type angreb og er den anbefalede langsigtede løsning .

Yderligere detektionsvejledning: Overvåg logs for mistænkelige @type-værdier, indlejrede JAR-URL'er i JSON-nyttelaster og uventede udgående netværksforbindelser fra applikationsservere .

Vigtige forbehold

• Ingen rettet 1.x-udgivelse eksisterer pr. 26. juli 2026. De tre ovenstående afværgeforanstaltninger er de eneste tilgængelige muligheder .
• Udnyttelsen kræver det specifikke Spring Boot fat-JAR-implementeringsmønster — dette indsnævrer den reelle eksplosionsradius, men efterlader stadig et meget stort antal virksomheders Spring Boot-applikationer eksponerede .
• Nogle tidlige CVE-lister (f.eks. cve.radio) angav oprindeligt "ingen offentlig udnyttelse rapporteret", men disse oplysninger er nu forældede i lyset af bekræftede rapporter fra Imperva, ThreatBook og Threadlinqs .