Критическая RCE-уязвимость в Fastjson: опасен разбор JSON из недоверенных источников

Что произошло с библиотекой Fastjson

Fastjson — это открытая Java-библиотека от Alibaba, которая превращает JSON-текст в объекты программы и обратно. Её используют в тысячах серверных приложений, потому что она быстрая и простая. 21 июля 2026 года для неё опубликовали уязвимость CVE-2026-16723 с оценкой CVSS 9.0 — это «критический» уровень. Проблема затрагивает всю ветку Fastjson 1.x, от версии 1.2.68 до последней 1.2.83 включительно.

Суть в том, что при разборе недоверенного JSON библиотека может быть вынуждена загрузить и выполнить чужой код. Это класс атак под названием небезопасная десериализация: приложение доверяет данным из файла или запроса больше, чем следует, и превращает их в исполняемые инструкции. По данным исследователей, уязвимость нашёл Кирилл Фирсов из компании FearsOff.

Как работает атака через JSON

Классические дыры в Fastjson были связаны с механизмом AutoType — когда JSON явно указывал, объект какого Java-класса из него собрать. Здесь атака хитрее и не требует включённого AutoType. Злоумышленник передаёт JSON с полями @type и аннотацией @JSONType, которую библиотека воспринимает как «сигнал доверия». Дальше поиск ресурса перенаправляется на подконтрольный атакующему путь.

Особенно опасна связка со сборками Spring Boot в формате «толстого» JAR (fat-JAR), где внутри одного файла лежат вложенные JAR-архивы. По описанию исследователей, «специально составленный путь к вложенному JAR может подтянуть управляемый атакующим байт-код». В результате обычный на вид JSON-запрос оборачивается запуском постороннего кода — без пароля и без участия пользователя.

Важная деталь: JSON сам по себе — это всего лишь текстовый формат обмена данными, в нём нет исполняемого кода. Опасность создаёт не файл, а небезопасный разбор этого файла уязвимой библиотекой. Чем именно является формат и как он устроен, мы подробно разбираем в справке чем открыть файл JSON.

Кого это касается

Речь не о рядовых пользователях, которые открывают .json в блокноте, а о серверных приложениях и сервисах на Java, которые принимают JSON извне: API, веб-бэкенды, микросервисы, интеграции. Под ударом прежде всего те, кто:

• использует Fastjson версий 1.2.68–1.2.83;
• разбирает этой библиотекой JSON, пришедший от внешних клиентов или из недоверенных файлов;
• собирает приложение как Spring Boot fat-JAR.

Если вы просто читаете JSON-конфиги или экспортируете данные настольными программами — прямой угрозы нет. Но администраторам и разработчикам, чьи сервисы стоят на Fastjson 1.x, реагировать нужно немедленно.

Что делать прямо сейчас

Пока официального патча для 1.x нет, разработчики Alibaba и исследователи рекомендуют временные меры защиты:

1. Включите безопасный режим разбора — запустите JVM с флагом -Dfastjson.parser.safeMode=true. В этом режиме опасная логика типов отключается.
2. Как альтернатива — используйте сборку с ограничениями com.alibaba:fastjson:1.2.83_noneautotype.
3. Проверьте журналы доступа на подозрительные полезные нагрузки с полем @type.
4. В качестве долгосрочного решения Alibaba указывает переход на Fastjson2 — это отдельная кодовая база, которую данная уязвимость не затрагивает.

Что это значит для работы с файлами и данными

История Fastjson — хорошая иллюстрация того, что уязвимость живёт не в формате, а в программе, которая его читает. Тот же вывод касается архивов, PDF и изображений: сам по себе файл безопасен, пока его не откроет уязвимый парсер. Именно поэтому важно вовремя обновлять софт и не запускать разбор чужих файлов на боевых серверах без песочницы.

Если вы работаете с потенциально опасными вложениями и загрузками, посмотрите наш раздел безопасность файлов и материал кибербезопасность в разработке — там собраны практические правила проверки данных перед обработкой.

Источники

• The Hacker News — Fastjson 1.x RCE Vulnerability Targeted in Attacks
• Alibaba Fastjson — официальный репозиторий и рекомендации по безопасности
• Rescana — Active Exploitation Alert: Fastjson 1.x RCE