CVE-2026-16723: Lỗ hổng Fastjson RCE nghiêm trọng đang bị khai thác — Chưa có bản vá

Đặc điểm khai thác

Lỗ hổng này phá vỡ khuôn mẫu của các vụ khai thác Fastjson trước đây ở ba điểm quan trọng:

• Không yêu cầu AutoType: Không giống như các RCE Fastjson trước đây, lỗ hổng này hoạt động với cấu hình mặc định — AutoType không cần phải được bật .
• Không yêu cầu gadget classpath: Việc khai thác không phụ thuộc vào bất kỳ lớp gadget nào của bên thứ ba có trong classpath .
• Không cần xác thực, không cần tương tác người dùng: Kẻ tấn công chưa xác thực có thể gửi một tải trọng JSON được tạo ra qua mạng và thực hiện RCE mà không cần bất kỳ hành động nào của người dùng .

Cấu hình triển khai bị ảnh hưởng

Việc khai thác không phải là phổ biến trên tất cả các cách sử dụng Fastjson. Nó yêu cầu tất cả các điều kiện sau :

1. Đang sử dụng Fastjson 1.2.68–1.2.83.
2. Ứng dụng được triển khai dưới dạng fat-JAR thực thi của Spring Boot.
3. SafeMode bị tắt (đây là mặc định).
4. JSON từ bên ngoài đến được điểm đầu vào của bộ phân tích Fastjson (ví dụ: JSON.parse, JSON.parseObject).

Các triển khai JAR không phải fat-JAR tiêu chuẩn, triển khai WAR trên Tomcat/Jetty và uber-JAR chung không bị ảnh hưởng .

Tác động đã được xác nhận: Spring Boot 2.x–4.x trên JDK 8 đến JDK 21. Lỗ hổng nằm trong chính thư viện Fastjson, không phải trong JDK, do đó tất cả các phiên bản JDK được hỗ trợ có chứa Fastjson dễ bị tấn công đều có nguy cơ .

Khai thác tích cực ngoài thực tế

• Mục tiêu quan sát được: ThreatBook và Imperva đã quan sát thấy các vụ khai thác tích cực nhắm mục tiêu chủ yếu vào các tổ chức có trụ sở tại Hoa Kỳ .
• Các ngành bị tấn công: Dịch vụ tài chính, chăm sóc sức khỏe, điện toán/công nghệ và bán lẻ .
• Mốc thời gian: Kẻ tấn công bắt đầu khai thác lỗ hổng trong vòng khoảng một ngày kể từ khi tiết lộ (19–20 tháng 7 năm 2026) .
• IOC có sẵn: Threadlinqs Intelligence theo dõi 23 chỉ số xâm nhập (IOC) và 9 quy tắc phát hiện (Splunk SPL, Microsoft KQL, Sigma) .

Các biện pháp giảm thiểu được khuyến nghị (Chưa có bản vá)

Do Alibaba chưa phát hành bản vá Fastjson 1.x, các tổ chức phải áp dụng một trong các giải pháp thay thế sau :

1. Bật SafeMode — Đặt thuộc tính hệ thống JVM -Dfastjson.parser.safeMode=true. Thao tác này sẽ vô hiệu hóa tất cả quá trình giải tuần tự hóa các lớp tùy ý .
2. Sử dụng bản build hạn chế — Thay thế artifact tiêu chuẩn bằng com.alibaba:fastjson:1.2.83_noneautotype, một bản build đặc biệt loại bỏ hoàn toàn hỗ trợ AutoType .
3. Nâng cấp lên Fastjson 2.x — Fastjson 2.x có kiến trúc miễn nhiễm với loại tấn công này và là giải pháp lâu dài được khuyến nghị .

Hướng dẫn phát hiện bổ sung: Giám sát nhật ký để tìm các giá trị @type đáng ngờ, URL JAR lồng nhau trong tải trọng JSON và các kết nối mạng đi ra ngoài bất thường từ máy chủ ứng dụng .

Các lưu ý quan trọng

• Không có bản phát hành 1.x nào được vá cho đến ngày 26 tháng 7 năm 2026. Ba biện pháp giảm thiểu trên là các lựa chọn khả dụng duy nhất .
• Việc khai thác yêu cầu mẫu triển khai fat-JAR Spring Boot cụ thể — điều này thu hẹp phạm vi ảnh hưởng trong thực tế nhưng vẫn để lại một số lượng rất lớn các ứng dụng Spring Boot doanh nghiệp bị lộ .
• Một số danh sách CVE ban đầu (ví dụ: cve.radio) nói rằng "chưa có báo cáo khai thác công khai", nhưng thông tin đó hiện đã lỗi thời so với các báo cáo đã được xác nhận từ Imperva, ThreatBook và Threadlinqs .