آسیب‌پذیری RCE در Fastjson نسخه ۱.x بدون وجود وصله امنیتی هدف حملات قرار گرفت

دو شرکت امنیتی ThreatBook و Imperva هشدار دادند که مهاجمان در حال بهره‌برداری فعال از یک آسیب‌پذیری بحرانی در کتابخانه Fastjson علی‌بابا برای زبان جاوا هستند. این نقص که با شناسه CVE-2026-16723 ردیابی می‌شود، امتیاز CVSS برابر با ۹.۰ دارد و به مهاجم اجازه می‌دهد بدون نیاز به احراز هویت، از طریق ارسال یک درخواست JSON مخرب در برنامه‌های Spring Boot، کد دلخواه را با سطح دسترسی فرآیند جاوا اجرا کند. زنجیره بهره‌برداری تأییدشده به نسخه‌های ۱.۲.۶۸ تا ۱.۲.۸۳ از Fastjson، یک فایل اجرایی fat-JAR مربوط به Spring Boot، و غیرفعال بودن حالت SafeMode (که به‌صورت پیش‌فرض غیرفعال است) نیاز دارد. ThreatBook اعلام کرد که از ۲۲ ژوئیه شواهدی از بهره‌برداری واقعی در محیط‌های عملیاتی (in-the-wild) را رصد کرده است، در حالی که Imperva فعالیت‌هایی را علیه سازمان‌هایی در حوزه‌های خدمات مالی، بهداشت، خرده‌فروشی و فناوری، عمدتاً در ایالات متحده، گزارش داد.

تا تاریخ ۲۵ ژوئیه، علی‌بابا هیچ نسخه وصله‌شده‌ای برای شاخه ۱.x از Fastjson منتشر نکرده بود. سازمان‌هایی که امکان مهاجرت فوری ندارند، باید SafeMode را با پارامتر ‎-Dfastjson.parser.safeMode=true فعال کنند یا از نسخه محدودشده ‎com.alibaba:fastjson:1.2.83_noneautotype استفاده نمایند؛ راه‌حل بلندمدت پیشنهادی علی‌بابا، مهاجرت به Fastjson2 است که از این آسیب‌پذیری تأثیر نمی‌پذیرد. قابل توجه است که نسخه ۱.۲.۸۳ که پیش‌تر به‌عنوان راه‌حل یک آسیب‌پذیری مجزا در سال ۲۰۲۲ توصیه شده بود، اکنون خود در محدوده آسیب‌پذیر CVE-2026-16723 قرار دارد. ارزیابی CISA-ADP در ۲۳ ژوئیه این آسیب‌پذیری را به‌عنوان «بدون بهره‌برداری» علامت‌گذاری کرد، که با گزارش‌های شرکت‌های امنیتی مغایرت دارد و منابع موجود توضیحی برای این تناقض ارائه نداده‌اند.