Основы Интернет - технологий.

Хакеры начали эксплуатировать критическую уязвимость в Java-библиотеке Fastjson. Баг позволяет удаленно выполнять код без аутентификации и взаимодействия с пользователем. Fastjson — опенсорсная Java-библиотека, разработанная компанией Alibaba, которая используется для сериализации объектов Java в JSON и обратно. Проект набрал более 25 600 звезд и имеет 6400 форков на GitHub и особенно популярен в китайском сегменте корпоративного ПО, а также применяется в проектах, созданных на платформе Alibaba. Обнаруженная проблема получила идентификатор CVE-2026-16723 (9,0 балла по шкале CVSS) и затрагивает Fastjson версий с 1.2.68 по 1.2.83 в Spring Boot-приложениях, собранных и запущенных в виде исполняемых fat JAR. Для эксплуатации уязвимости приложение должно иметь доступную через сеть точку входа, которая принимает подконтрольный атакующему JSON и передает его Fastjson. Кроме того, SafeMode должен быть выключен, как в конфигурации по умолчанию. Отдельно сообщается, что для эксплуатации бага не требуется включать AutoType или искать подходящие гаджет-классы в classpath. В случае успешной атаки злоумышленник может выполнить произвольный код с правами Java-процесса. Корень проблемы заключается в механизме разрешения типов в Fastjson. При обработке подконтрольного атакующему значения @type библиотека вызывает getResourceAsStream и пытается прочитать ресурс соответствующего класса еще до того, как окончательно применит ограничения AutoType. Специально сформированное значение позволяет обратиться к классу внутри удаленного JAR и загрузить его байткод. Если загруженный класс содержит аннотацию @JSONType, Fastjson считает класс разрешенным и пропускает дальнейшие проверки. Затем библиотека загружает класс и создает его экземпляр, из-за чего выполняется код из статического инициализатора. В итоге атакующий добивается удаленного выполнения кода, хотя AutoType остается выключенным и подходящих гаджетов в приложении нет. Отмечается, что привязка входных данных к заранее заданному классу не защищает от атаки, так как пейлоад может быть скрыт внутри поля Object или Map. Кроме того, уязвимы JSON.parse, JSON.parseObject(String) и JSON.parseObject(String, Class). Проблема не затрагивает Fastjson 1.2.60 и более ранние версии, так как в новой ветке Fastjson2 библиотека уже не ищет ресурсы по подконтрольным именам классов, не полагается на @JSONType и разрешает полиморфные типы по allowlist-first-модели. Уязвимость обнаружил Кирилл Фирсов из компании FearsOff Cybersecurity. На прошлой неделе разработчики Alibaba опубликовали бюллетень безопасности, посвященный этой проблеме, и уже на следующий день специалисты ThreatBook предупредили, что зафиксировали попытки эксплуатации уязвимости в реальных атаках. По данным аналитиков из компании Imperva, основными целями этих атак стали организации из США, а также небольшое количество попыток эксплуатации зафиксировали в Сингапуре и Канаде. Исследователи пишут, что атаки на CVE-2026-16723 уже затронули финансовый сектор, здравоохранение, ИТ-компании, ретейл и другие отрасли. Большинство запросов генерировали инструменты, имитировавшие браузеры, а еще около 30% приходилось на утилиты, написанные на Ruby и Go. При этом эксперты ThreatBook и Imperva пока не раскрывают точное количество обнаруженных атак и названия пострадавших компаний. В качестве временной защитной меры в Alibaba рекомендовали включить SafeMode с помощью параметра -Dfastjson.parser.safeMode=true или использовать com.alibaba:fastjson:1.2.83_noneautotype. В качестве более долгосрочного решения рекомендуется рассмотреть возможность миграции на Fastjson2. 29 июля 2026 года разработчики выпустили Fastjson 1.2.84, в котором проблему CVE-2026-16723 исправили. В частности, разработчики усилили проверки allowlist и закрыли возможность получить запрещенный класс из кеша. Пользователям Fastjson 1.x рекомендуется как можно скорее обновиться до версии 1.2.84. Тем, кто пока не может установить патч, советуют включить SafeMode или перейти на сборку 1.2.83_noneautotype.