उत्तरप्रकाशित6 घंटे पहलेLast edited 6 घंटे पहले23 स्रोत

CVE-2026-16723: Alibaba Fastjson में गंभीर RCE खामी, CVSS 9.0 — सक्रिय शोषण, पैच जारी नहीं

CVE 2026 16723, Alibaba Fastjson के संस्करण 1.2.68 से 1.2.83 को प्रभावित करने वाली एक गंभीर रिमोट कोड एक्जीक्यूशन (RCE) खामी है, जिसका CVSS स्कोर 9.0 है। यह खामी AutoType, क्लासपाथ गैजेट या उपयोगकर्ता इंटरैक्शन की आवश... चूंकि Alibaba ने 1.x श्रृंखला के लिए कोई पैच जारी नहीं किया है, संगठनों को तुरंत SafeMode सक्षम...

Studio Global AI के साथ खोजें और तथ्यों की जांच करें और ट्रेंडिंग पेज देखें

Abstract visualization of a cybersecurity threat showing a red alert screen with code and binary data representing a critical Fastjson RCE vulnerability — Search & fact-check with cited sources for What are the details of the critical actively exploited remote code execution vulnerability (CVE-Conceptual representation of the CVE-2026-16723 critical remote code execution vulnerability in Alibaba Fastjson. AI-generated image.
AI संकेत
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the details of the critical actively exploited remote code execution vulnerability (CVE-. Article summary: CVE-2026-16723 is a critical, actively exploited remote code execution vulnerability in Alibaba Fastjson 1.x versions 1.2.68 through 1.2.83, carrying a CVSS 9.0 score. All the major claims you listed are confirmed by aut. Topic tags: general, government, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text,
openai.com

CVE-2026-16723, Alibaba Fastjson 1.x के 1.2.68 से 1.2.83 संस्करणों में एक गंभीर, सक्रिय रूप से शोषित रिमोट कोड एक्जीक्यूशन (RCE) खामी है, जिसका CVSS स्कोर 9.0 है। सुरक्षा फर्मों ने वास्तविक दुनिया में इसके सक्रिय शोषण की पुष्टि की है, और जुलाई 2026 के अंत तक Alibaba की ओर से कोई पैच जारी नहीं किया गया है ।

खामी का विवरण

CVE ID: CVE-2026-16723, 23 जुलाई 2026 को प्रकाशित ।
CVSS स्कोर: 9.0 (Critical), वेक्टर CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H — नेटवर्क-आधारित, किसी विशेषाधिकार या उपयोगकर्ता इंटरैक्शन की आवश्यकता नहीं, स्कोप बदला हुआ, गोपनीयता/उपलब्धता/अखंडता पर उच्च प्रभाव ।
प्रभावित संस्करण: Fastjson 1.2.68 से 1.2.83 (नवीनतम मानक 1.x रिलीज़)। Alibaba ने कोई पैच जारी नहीं किया है ।
खोज: FearsOff Cybersecurity के Kirill Firsov ने लगभग 19 जुलाई 2026 को इस खामी का खुलासा किया। तब से पूर्ण तकनीकी विवरण और कार्यशील प्रूफ-ऑफ-कॉन्सेप्ट (PoC) कोड सार्वजनिक रूप से प्रकाशित हो चुके हैं ।

शोषण की विशेषताएं

यह खामी पिछले Fastjson शोषणों से तीन महत्वपूर्ण मायनों में अलग है:

AutoType की आवश्यकता नहीं: पिछले Fastjson RCE के विपरीत, यह खामी डिफ़ॉल्ट कॉन्फ़िगरेशन में भी काम करती है — AutoType को सक्षम करने की आवश्यकता नहीं है ।
क्लासपाथ गैजेट की आवश्यकता नहीं: इस शोषण के लिए क्लासपाथ पर किसी तृतीय-पक्ष गैजेट क्लास की मौजूदगी आवश्यक नहीं है ।
कोई प्रमाणीकरण या उपयोगकर्ता इंटरैक्शन नहीं: कोई भी अनधिकृत हमलावर नेटवर्क पर एक विशेष रूप से तैयार JSON पेलोड भेजकर बिना किसी उपयोगकर्ता कार्रवाई के RCE प्राप्त कर सकता है ।

प्रभावित डिप्लॉयमेंट कॉन्फ़िगरेशन

यह शोषण Fastjson के सभी उपयोगों पर लागू नहीं है। इसके लिए निम्नलिखित सभी शर्तों का पूरा होना आवश्यक है :

Fastjson 1.2.68–1.2.83 का उपयोग होना चाहिए।
एप्लिकेशन को Spring Boot एक्जीक्यूटेबल fat-JAR के रूप में डिप्लॉय किया जाना चाहिए।
SafeMode अक्षम होना चाहिए (जो डिफ़ॉल्ट है)।
बाहरी रूप से नियंत्रित JSON एक Fastjson पार्सर एंट्री पॉइंट (जैसे, JSON.parse, JSON.parseObject) तक पहुँचना चाहिए।

मानक गैर-fat JAR डिप्लॉयमेंट, Tomcat/Jetty पर WAR डिप्लॉयमेंट, और सामान्य uber-JAR इस शोषण से प्रभावित नहीं हैं ।

पुष्टि किया गया प्रभाव: JDK 8 से 21 तक, Spring Boot 2.x से 4.x तक। यह खामी Fastjson लाइब्रेरी में है, JDK में नहीं, इसलिए सभी प्रभावित JDK संस्करण जोखिम में हैं ।

सक्रिय शोषण (इन-द-वाइल्ड)

लक्ष्य: ThreatBook और Imperva ने मुख्य रूप से अमेरिका-आधारित संगठनों को लक्षित करते हुए सक्रिय शोषण देखा है ।
लक्षित उद्योग क्षेत्र: वित्तीय सेवाएं, हेल्थकेयर, कंप्यूटिंग/प्रौद्योगिकी, और खुदरा ।
समयरेखा: हमलावरों ने खामी के खुलासे (19-20 जुलाई 2026) के लगभग एक दिन के भीतर ही इसका शोषण शुरू कर दिया था ।
IOCs उपलब्ध: Threadlinqs Intelligence 23 इंडीकेटर्स ऑफ कॉम्प्रोमाइज़ (IoC) और 9 डिटेक्शन रूल्स (Splunk SPL, Microsoft KQL, Sigma) ट्रैक करता है ।

अनुशंसित उपाय (पैच उपलब्ध नहीं)

चूंकि Alibaba ने कोई पैच जारी नहीं किया है, संगठनों को निम्नलिखित में से एक वर्कअराउंड लागू करना होगा :

SafeMode सक्षम करें — JVM सिस्टम प्रॉपर्टी -Dfastjson.parser.safeMode=true सेट करें। यह मनमानी क्लासेस के डिसीरिएलाइज़ेशन को अक्षम कर देता है ।
प्रतिबंधित बिल्ड का उपयोग करें — मानक आर्टिफैक्ट को com.alibaba:fastjson:1.2.83_noneautotype से बदलें, जो AutoType सपोर्ट को पूरी तरह से हटा देता है ।
Fastjson 2.x पर माइग्रेट करें — Fastjson 2.x आर्किटेक्चरल रूप से इस प्रकार के हमले से प्रतिरक्षित है और यह दीर्घकालिक समाधान है ।

अतिरिक्त डिटेक्शन दिशानिर्देश: लॉग में संदिग्ध @type मान, JSON पेलोड में नेस्टेड JAR URLs, और एप्लिकेशन सर्वर से अनपेक्षित आउटबाउंड नेटवर्क कनेक्शन पर नज़र रखें ।

मुख्य चेतावनियाँ

26 जुलाई 2026 तक कोई पैच जारी नहीं हुआ है। ऊपर दिए गए तीन उपाय ही एकमात्र विकल्प हैं ।
शोषण के लिए विशिष्ट Spring Boot fat-JAR डिप्लॉयमेंट पैटर्न की आवश्यकता होती है — इससे वास्तविक दुनिया का प्रभाव सीमित हो जाता है, लेकिन फिर भी बड़ी संख्या में एंटरप्राइज़ Spring Boot एप्लिकेशन असुरक्षित रह जाते हैं ।
कुछ प्रारंभिक CVE लिस्टिंग (जैसे, cve.radio) ने "कोई सार्वजनिक शोषण रिपोर्ट नहीं" कहा था, लेकिन Imperva, ThreatBook और Threadlinqs की पुष्टि रिपोर्टों के बाद यह जानकारी पुरानी हो चुकी है ।

Studio Global AI

Search, cite, and publish your own answer

Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.

Studio Global AI के साथ खोजें और तथ्यों की जांच करें

लोग पूछते भी हैं