目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1336 元

100%
请我们喝杯咖啡

CVE-2022-25845— Fastjson 代码问题漏洞

一分钟漏洞结论

影响对象
n/a com.alibaba:fastjson
利用判断
存在公开或 AI PoC，应优先验证
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

Fastjson是一款基于Java的快速JSON解析器/生成器。 Fastjson 1.2.83 之前版本存在安全漏洞，该漏洞源于容易绕过默认的 autoType 关闭限制来反序列化不受信任的数据，攻击者利用该漏洞可以攻击远程服务器。

CVSS 8.1 · High EPSS 18.88% · P97
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2022-25845 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
Deserialization of Untrusted Data
来源: CVE Program / CVE List V5
Vulnerability Description
The package com.alibaba:fastjson before 1.2.83 are vulnerable to Deserialization of Untrusted Data by bypassing the default autoType shutdown restrictions, which is possible under certain conditions. Exploiting this vulnerability allows attacking remote servers. Workaround: If upgrading is not possible, you can enable [safeMode](https://github.com/alibaba/fastjson/wiki/fastjson_safemode).
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
N/A
来源: CVE Program / CVE List V5
Vulnerability Title
Fastjson 代码问题漏洞
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Description
Fastjson是一款基于Java的快速JSON解析器/生成器。 Fastjson 1.2.83 之前版本存在安全漏洞，该漏洞源于容易绕过默认的 autoType 关闭限制来反序列化不受信任的数据，攻击者利用该漏洞可以攻击远程服务器。
来源: 中国国家信息安全漏洞库 CNNVD
CVSS Information
N/A
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Type
N/A
来源: 中国国家信息安全漏洞库 CNNVD

神龙十问 — AI 深度分析

十问解析：根本原因、利用方式、修复建议、紧迫性。摘要免费，完整版需登录。

查看摘要 完整分析（登录）

受影响产品

厂商 产品 影响版本 CPE 订阅
- com.alibaba:fastjson unspecified ~ 1.2.83 -

二、漏洞 CVE-2022-25845 的公开POC

# POC 描述 源链接 神龙链接
1 [fastjson 1.2.80] CVE-2022-25845 aspectj fileread & groovy remote classload https://github.com/hosch3n/FastjsonVulns POC详情
2 None https://github.com/nerowander/CVE-2022-25845-exploit POC详情
3 a scenario based on CVE-2022-25845 yielding a TP for metadata based SCA but a FN if the callgraph is used https://github.com/scabench/fastjson-tp1fn1 POC详情
4 CVE-2022-25845(fastjson1.2.80) exploit in Spring Env! https://github.com/luelueking/CVE-2022-25845-In-Spring POC详情
5 exploit by python https://github.com/ph0ebus/CVE-2022-25845-In-Spring POC详情
6 None https://github.com/Threekiii/Awesome-POC/blob/master/%E5%BC%80%E5%8F%91%E6%A1%86%E6%9E%B6%E6%BC%8F%E6%B4%9E/Fastjson%20%E8%BF%9C%E7%A8%8B%E4%BB%A3%E7%A0%81%E6%89%A7%E8%A1%8C%E6%BC%8F%E6%B4%9E%20CVE-2022-25845.md POC详情
7 None https://github.com/cuijiung/fastjson-CVE-2022-25845 POC详情
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2022-25845 的情报信息

请登录查看更多情报信息。

CVE-2022-25845 补丁与修复 (2)

CVE-2022-25845 厂商安全公告 (2)

CVE-2022-25845 新闻报道 (1)

CVE-2022-25845 其他参考 (2)

同批安全公告 · n/a · 2022-06-10 · 共 23 条

CVE-2022-25863 8.1 HIGH gatsby 代码问题漏洞
CVE-2022-25851 7.5 HIGH jpeg-js 安全漏洞
CVE-2022-24278 7.5 HIGH convert-svg 路径遍历漏洞
CVE-2022-24429 7.5 HIGH convert-svg 代码注入漏洞
CVE-2022-24376 7.2 HIGH git-promise 参数注入漏洞
CVE-2022-21211 5.9 MEDIUM posix 安全漏洞
CVE-2022-31285 Bento4 安全漏洞
CVE-2022-32563 Couchbase Sync Gateway 信任管理问题漏洞
CVE-2022-27502 RealVNC VNC Server 安全漏洞
CVE-2022-31788 Idea LMS SQL注入漏洞
CVE-2021-44582 Money Transfer Management System 安全漏洞
CVE-2021-44117 FUEL CMS 跨站请求伪造漏洞
CVE-2022-32978 libjpeg 安全漏洞
CVE-2022-29948 Lepin EP-KP001 安全漏洞
CVE-2022-31402 ITOP 跨站脚本漏洞
CVE-2018-17240 Netwave IP camera 安全漏洞
CVE-2022-31282 Bento4 安全漏洞
CVE-2021-41756 dynamicMarkt SQL注入漏洞
CVE-2022-31287 Bento4 安全漏洞
CVE-2022-32981 Linux kernel 安全漏洞

显示前 20 条，共 23 条。 查看全部 → →

IV. Related Vulnerabilities

Same vendor: n/a

V. Comments for CVE-2022-25845

暂无评论

发表评论