Atacantes estão explorando a falha CVE‑2026‑16723 no Fastjson 1.x, biblioteca JSON da Alibaba usada em aplicações Java. A vulnerabilidade, com CVSS 9.0, permite a execução remota de código com os privilégios do processo Java sem necessidade de autenticação.

Condicões de exploração

  • Fastjson versões 1.2.68 a 1.2.83
  • Aplicações Spring Boot embaladas em fat‑JAR executáveis
  • Entrada de JSON via caminho de rede acessível
  • SafeMode desabilitado (valorॅ padrão)
  • AutoType pode permanecer desativado, sem gadget de classpath necessário

Como funciona o ataque

A análise técnica de Kirill Firsov demonstra que um valor @type controlado pelo atacante é convertido em uma pesquisa de recurso de classe. Em um fat‑JAR Spring Boot compatível, um caminho de JAR aninhado pode baixar bytecode controlado pelo invasor. Um @JSONType nesse recurso é então aceito como sinal de confiança, permitindo o carregamento da classe e a execução de código arbitrário.

Para JDKs mais recentes, o atacante pode baixar um JAR remoto e referenciá‑lo via /proc/self/fd. O exploit depende do carregador de fat‑JAR do Spring Boot; JARs comuns, uber‑JARs genéricos e implantações WAR em Tomcat ou Jetty não são afetados.

Impacto prático

Até o dia 25 de julho, a Alibaba não lançou uma versão corrigida do Fastjson 1.x. Organizações que não possam migrar imediatamente são aconselhadas a habilitar o SafeMode com -Dfastjson.parser.safeMode=true ou usar a build com.alibaba:fastjson:1.2.83_noneautotype. A migração para o Fastjson2 é considerada a solução de longo prazo, pois a nova versão não utiliza o caminho de confiança baseado em anotações.

Vigilância recomendada inclui inventariar dependências Fastjson, monitorar entradas com @type inesperadas, URLs de JAR aninhadas, conexões de saída inesperadas, processos filhos, alterações de arquivo e shells web. Embora a Alibaba e os fornecedores de segurança tenham detectado atividade de exploração em ambientes financeiros, de saúde e de varejo, não há evidências de violações confirmadas.

O CISA avaliou a exploração como inexistente em 23 de julho, e o Fastjson 1.x ainda não aparece no catálogo de vulnerabilidades conhecidas pela CISA. A ausência de patch e a possibilidade de exploração em fat‑JARs críticos tornam o risco real para qualquer organização que dependa dessa biblioteca.

Com informacoes de The Hacker News. Texto produzido com apoio de IA e verificado em fontes independentes.

Tambem noticiado por: