セキュリティ企業ThreatBookとImpervaは、Fastjson 1.2.68から1.2.83のバージョンに存在する脆弱性が実際に悪用されていることを確認した。この脆弱性は、Spring Bootのfat-JAR構成において、攻撃者が制御するJSONデータを使って無制限のコード実行を可能にする。根本原因は、@typeタグがクラス検索に変換され、その検索がネストされたJARファイルを通じて悪意のあるバイトコードを読み込むことにある。

AlibabaはFastjson 1.x向けにまだ修正版をリリースしていない。一時的な対策として、-Dfastjson.parser.safeMode=trueパラメータでSafeModeを有効化するか、1.2.83_noneautotypeバージョンを使用することが推奨される。長期的な解決策はFastjson2への移行であり、このバージョンは同じクラス検索やセキュリティシグネチャメカニズムを使用していない。

攻撃は特に米国の金融、医療、テクノロジー企業を標的にしている。悪用はブラウザエミュレーションや一部のRuby/Goツールを介して行われている。セキュリティ専門家は、システムで予期しない接続、サブプロセス、ウェブシェルなどの兆候を監視することを勧めている。CISAとHacker Newsは、この脆弱性が現在公に知られている悪用済み脆弱性リストには含まれていないことを確認した。