Fastjson 1.x 遠端程式碼執行漏洞分析與應對指南
近期安全社群發現一個針對阿里巴巴 Fastjson 1.x 版本的嚴重漏洞，編號為 CVE-2026-16723。這個漏洞被評定為 CVSS 9.0 的高危險等級，最令人擔心的點在於：它允許攻擊者在無需身份驗證的情況下，直接以 Java 進程的權限在伺服器上執行任意程式碼，且目前 Fastjson 1.x 版本尚未提供正式的修補補丁。
理解漏洞背景：什麼是 RCE 與 Fastjson 的陷阱
對於剛接觸安全議題的工程師來說，首先要理解 RCE（Remote Code Execution，遠端程式碼執行）。這是一種極其危險的漏洞，意味著攻擊者可以從遠端發送一段指令，讓你的伺服器執行他們想要的操作，例如刪除資料庫、安裝後門或竊取機密文件。
Fastjson 是一個高效能的 Java JSON 解析庫，它在處理 JSON 轉 Java 物件時，有一個功能叫 AutoType。AutoType 允許 JSON 字串中包含 @type 標記，告訴解析器要把這個 JSON 轉換成哪個特定的 Java 類別。過去很多 Fastjson 的漏洞都是繞過 AutoType 的黑名單來載入惡意類別。然而，這次的 CVE-2026-16723 非常特殊，它不需要開啟 AutoType，也不需要預先在專案中存在特定的 Gadget（指可以被利用來觸發惡意行為的既有類別）。
漏洞觸發路徑：Spring Boot Fat-JAR 的致命組合
這次漏洞的成因在於 Fastjson 的類別解析路徑與 Spring Boot 特有的封裝方式產生了化學反應。
當應用程式使用 Spring Boot 的 Fat-JAR（將所有依賴庫全部打包在單一 JAR 檔中的部署方式）時，攻擊者可以構造一個特殊的 @type 數值。這個數值會誘導 Fastjson 將其視為一種類別資源查找請求。
具體流程是：攻擊者透過精心設計的巢狀 JAR 路徑，誘導系統去抓取由攻擊者控制的位元組碼（Bytecode）。如果該資源中包含 @JSONType 註解，Fastjson 會將其視為信任信號，從而繞過類別檢查並載入該類別。在較新版本的 JDK 中，攻擊者甚至能利用 /proc/self/fd 路徑來引用遠端下載的 JAR 檔。
這意味著，只要你的應用程式滿足以下條件，就處於高風險中： 使用 Fastjson 1.2.68 至 1.2.83 版本。 使用 Spring Boot 的 Fat-JAR 封裝部署。 程式碼中有將外部輸入的 JSON 直接交給 Fastjson 解析的入口（例如 JSON.parse 或 JSON.parseObject）。 系統的 SafeMode（安全模式）處於預設的禁用狀態。
需要注意的是，即使你在程式碼中指定了接收的類別（例如 JSON.parseObject(input, User.class)），如果 User 類別中包含 Object 或 Map 類型的欄位，攻擊者依然可以在這些巢狀欄位中植入惡意 Payload。
目前的影響範圍與實務限制
根據安全公司 ThreatBook 與 Imperva 的監測，此漏洞已在野外被利用，目標涵蓋金融、醫療與零售等產業。
但並非所有 Java 應用都受影響。根據分析，如果你的部署方式是傳統的 WAR 包（部署在 Tomcat 或 Jetty 上），或是使用非 Fat-JAR 的普通 JAR 部署，則不受此特定攻擊鏈影響。
目前的處置困境在於，Alibaba 尚未針對 1.x 版本發布修補版本。即使是最新的 1.2.83 版本也包含此漏洞。
工程師的應對方案
面對沒有補丁的漏洞，我們必須採取緩解措施（Mitigation）而非等待更新。
短期最有效的方案：開啟 SafeMode 在啟動 Java 應用程式時，加入以下 JVM 參數：-Dfastjson.parser.safeMode=true。 開啟安全模式後，Fastjson 將完全禁用 AutoType 功能，從而切斷攻擊路徑。這是目前最推薦的緊急應對手段。
替代方案：使用限制版本 如果無法修改啟動參數，請將依賴更換為 com.alibaba:fastjson:1.2.83_noneautotype。這個版本在編譯時就移除了 AutoType 相關功能。
長期解決方案：遷移至 Fastjson2 阿里巴巴官方建議所有使用者遷移至 Fastjson2。Fastjson2 在底層設計上完全重新構建，不再使用相同類別的資源探測或基於註解的信任路徑，因此不受此漏洞影響。
防禦檢查清單
對於維運與開發人員，建議立即檢查以下項目： 檢查依賴樹，確認是否使用了 Fastjson 1.x 版本。 確認部署方式是否為 Spring Boot Fat-JAR。 檢查日誌中是否出現異常的 @type 關鍵字或指向外部路徑的類別請求。 監控伺服器是否有異常的對外連線或非預期的子進程啟動。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。