Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9taill\u00e9 une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 de haute gravit\u00e9 r\u00e9cemment corrig\u00e9e dans le populaire Biblioth\u00e8que Fastjson<\/b> qui pourraient \u00eatre potentiellement exploit\u00e9es pour r\u00e9aliser l’ex\u00e9cution de code \u00e0 distance.<\/p>\n
Suivi comme CVE-2022-25845<\/a> (score CVSS : 8,1), la publier<\/a> concerne un cas de d\u00e9s\u00e9rialisation des donn\u00e9es non fiables<\/a> dans une fonctionnalit\u00e9 prise en charge appel\u00e9e “AutoType”. Il a \u00e9t\u00e9 corrig\u00e9 par les mainteneurs du projet en version 1.2.83<\/a> sortie le 23 mai 2022.<\/p>\n “Cette vuln\u00e9rabilit\u00e9 affecte toutes les applications Java qui reposent sur Fastjson versions 1.2.80 ou ant\u00e9rieures et qui transmettent des donn\u00e9es contr\u00f4l\u00e9es par l’utilisateur aux API JSON.parse ou JSON.parseObject sans sp\u00e9cifier un sp\u00e9cifique classer<\/a> d\u00e9s\u00e9rialiser”, Uriya Yavnieli de JFrog a dit<\/a> dans un \u00e9crit.<\/p>\n Fastjson<\/a> est une biblioth\u00e8que Java utilis\u00e9e pour convertir des objets Java en leur JSON<\/a> repr\u00e9sentation et inversement. Autotype<\/a>la fonction vuln\u00e9rable \u00e0 la faille, est activ\u00e9e par d\u00e9faut et est con\u00e7ue pour sp\u00e9cifier un type personnalis\u00e9 lors de l’analyse d’une entr\u00e9e JSON qui peut ensuite \u00eatre d\u00e9s\u00e9rialis\u00e9<\/a> dans un objet de la classe appropri\u00e9e.<\/p>\n “Cependant, si le JSON d\u00e9s\u00e9rialis\u00e9 est contr\u00f4l\u00e9 par l’utilisateur, son analyse avec AutoType activ\u00e9 peut entra\u00eener un probl\u00e8me de s\u00e9curit\u00e9 de d\u00e9s\u00e9rialisation, car l’attaquant peut instancier n’importe quelle classe disponible sur le Chemin de classe<\/a>et alimente son constructeur avec des arguments arbitraires \u00bb, a expliqu\u00e9 Yavnieli.<\/p>\n Alors que les propri\u00e9taires du projet ont pr\u00e9c\u00e9demment introduit un safeMode qui d\u00e9sactive la saisie automatique et a commenc\u00e9 \u00e0 maintenir un liste de blocage des classes<\/a> pour se d\u00e9fendre contre les failles de d\u00e9s\u00e9rialisation, la faille nouvellement d\u00e9couverte contourne la derni\u00e8re de ces restrictions pour entra\u00eener l’ex\u00e9cution de code \u00e0 distance<\/a>.<\/p>\n Il est recommand\u00e9 aux utilisateurs de Fastjson de mettre \u00e0 jour vers la version 1.2.83 ou d’activer safeMode, qui d\u00e9sactive la fonction quelle que soit la liste d’autorisation et la liste de blocage utilis\u00e9es, fermant efficacement les variantes de l’attaque de d\u00e9s\u00e9rialisation.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/05\/Arret-de-loperation-Conti-Ransomware-apres-la-division-en-groupes.png\")
<\/a><\/div>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEj6zHdXd3qpCksF0nkMkrjsOzaw-cxZGPHWoTEp9y7VPIeyPBFGsmIyIX8NTkqI1IDqnIXYnsZuIh4rc9f8TNUn7ndAZqtXc-t58X2oueTaL4Ijb4hgH-b183QvQ0ienXIipuOsqeLP5b8I2prKmp0RWvdZQgnKehVRKbqRQpin1JgfwlZeE_IB4EmesQ\/s1600\/crowdsec-728.jpg\")
<\/a><\/div>\n