CVE-2026-16723: Alibaba Fastjson में गंभीर RCE खामी, CVSS 9.0 — सक्रिय शोषण, पैच जारी नहीं

शोषण की विशेषताएं

यह खामी पिछले Fastjson शोषणों से तीन महत्वपूर्ण मायनों में अलग है:

• AutoType की आवश्यकता नहीं: पिछले Fastjson RCE के विपरीत, यह खामी डिफ़ॉल्ट कॉन्फ़िगरेशन में भी काम करती है — AutoType को सक्षम करने की आवश्यकता नहीं है ।
• क्लासपाथ गैजेट की आवश्यकता नहीं: इस शोषण के लिए क्लासपाथ पर किसी तृतीय-पक्ष गैजेट क्लास की मौजूदगी आवश्यक नहीं है ।
• कोई प्रमाणीकरण या उपयोगकर्ता इंटरैक्शन नहीं: कोई भी अनधिकृत हमलावर नेटवर्क पर एक विशेष रूप से तैयार JSON पेलोड भेजकर बिना किसी उपयोगकर्ता कार्रवाई के RCE प्राप्त कर सकता है ।

प्रभावित डिप्लॉयमेंट कॉन्फ़िगरेशन

यह शोषण Fastjson के सभी उपयोगों पर लागू नहीं है। इसके लिए निम्नलिखित सभी शर्तों का पूरा होना आवश्यक है :

1. Fastjson 1.2.68–1.2.83 का उपयोग होना चाहिए।
2. एप्लिकेशन को Spring Boot एक्जीक्यूटेबल fat-JAR के रूप में डिप्लॉय किया जाना चाहिए।
3. SafeMode अक्षम होना चाहिए (जो डिफ़ॉल्ट है)।
4. बाहरी रूप से नियंत्रित JSON एक Fastjson पार्सर एंट्री पॉइंट (जैसे, JSON.parse, JSON.parseObject) तक पहुँचना चाहिए।

मानक गैर-fat JAR डिप्लॉयमेंट, Tomcat/Jetty पर WAR डिप्लॉयमेंट, और सामान्य uber-JAR इस शोषण से प्रभावित नहीं हैं ।

• पुष्टि किया गया प्रभाव: JDK 8 से 21 तक, Spring Boot 2.x से 4.x तक। यह खामी Fastjson लाइब्रेरी में है, JDK में नहीं, इसलिए सभी प्रभावित JDK संस्करण जोखिम में हैं ।

सक्रिय शोषण (इन-द-वाइल्ड)

• लक्ष्य: ThreatBook और Imperva ने मुख्य रूप से अमेरिका-आधारित संगठनों को लक्षित करते हुए सक्रिय शोषण देखा है ।
• लक्षित उद्योग क्षेत्र: वित्तीय सेवाएं, हेल्थकेयर, कंप्यूटिंग/प्रौद्योगिकी, और खुदरा ।
• समयरेखा: हमलावरों ने खामी के खुलासे (19-20 जुलाई 2026) के लगभग एक दिन के भीतर ही इसका शोषण शुरू कर दिया था ।
• IOCs उपलब्ध: Threadlinqs Intelligence 23 इंडीकेटर्स ऑफ कॉम्प्रोमाइज़ (IoC) और 9 डिटेक्शन रूल्स (Splunk SPL, Microsoft KQL, Sigma) ट्रैक करता है ।

अनुशंसित उपाय (पैच उपलब्ध नहीं)

चूंकि Alibaba ने कोई पैच जारी नहीं किया है, संगठनों को निम्नलिखित में से एक वर्कअराउंड लागू करना होगा :

1. SafeMode सक्षम करें — JVM सिस्टम प्रॉपर्टी -Dfastjson.parser.safeMode=true सेट करें। यह मनमानी क्लासेस के डिसीरिएलाइज़ेशन को अक्षम कर देता है ।
2. प्रतिबंधित बिल्ड का उपयोग करें — मानक आर्टिफैक्ट को com.alibaba:fastjson:1.2.83_noneautotype से बदलें, जो AutoType सपोर्ट को पूरी तरह से हटा देता है ।
3. Fastjson 2.x पर माइग्रेट करें — Fastjson 2.x आर्किटेक्चरल रूप से इस प्रकार के हमले से प्रतिरक्षित है और यह दीर्घकालिक समाधान है ।

अतिरिक्त डिटेक्शन दिशानिर्देश: लॉग में संदिग्ध @type मान, JSON पेलोड में नेस्टेड JAR URLs, और एप्लिकेशन सर्वर से अनपेक्षित आउटबाउंड नेटवर्क कनेक्शन पर नज़र रखें ।

मुख्य चेतावनियाँ

• 26 जुलाई 2026 तक कोई पैच जारी नहीं हुआ है। ऊपर दिए गए तीन उपाय ही एकमात्र विकल्प हैं ।
• शोषण के लिए विशिष्ट Spring Boot fat-JAR डिप्लॉयमेंट पैटर्न की आवश्यकता होती है — इससे वास्तविक दुनिया का प्रभाव सीमित हो जाता है, लेकिन फिर भी बड़ी संख्या में एंटरप्राइज़ Spring Boot एप्लिकेशन असुरक्षित रह जाते हैं ।
• कुछ प्रारंभिक CVE लिस्टिंग (जैसे, cve.radio) ने "कोई सार्वजनिक शोषण रिपोर्ट नहीं" कहा था, लेकिन Imperva, ThreatBook और Threadlinqs की पुष्टि रिपोर्टों के बाद यह जानकारी पुरानी हो चुकी है ।