CVE-2022-25845
अविश्वसनीय डेटा का डिसीरियलाइज़ेशन
- प्रकाशित
- 10 जून 2022
- अद्यतन
- 16 सित॰ 2024
- सीएनए असाइन करना
- snyk
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hमध्यम · अगले 30 दिन
- प्रतिशत
- 97.2%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
com.alibaba:fastjson पैकेज 1.2.83 से पहले के संस्करण डिफ़ॉल्ट autoType शटडाउन प्रतिबंधों को बायपास करके अविश्वसनीय डेटा के डिसीरियलाइज़ेशन (Deserialization of Untrusted Data) के प्रति संवेदनशील हैं, जो कुछ शर्तों के तहत संभव है। इस भेद्यता का शोषण करने से दूरस्थ सर्वरों पर हमला करना संभव हो जाता है। वर्कअराउंड: यदि अपग्रेड करना संभव नहीं है, तो आप [safeMode](https://github.com/alibaba/fastjson/wiki/fastjson_safemode) सक्षम कर सकते हैं।
स्रोत
- fastjson-CVE-2022-25845एक्सप्लॉइट
CVE-2022-25845 के लिए एक्सप्लॉइट जो जावा अनुप्रयोगों में FastJSON डिसीरियलाइज़ेशन भेद्यता को लक्षित करता है। यह निर्मित JSON पेलोड के माध्यम से रिमोट कोड निष्पादन सक्षम करता है।
- FastjsonVulnsएक्सप्लॉइट
- CVE-2022-25845-In-Springएक्सप्लॉइट
CVE-2022-25845 (fastjson 1.2.80) स्प्रिंग वातावरण के लिए शोषण, चरण-दर-चरण PoC, फ़ाइल पढ़ने, और Jackson/commons-io डिसीरियलाइज़ेशन श्रृंखलाओं के माध्यम से मनमानी फ़ाइल लिखने के साथ।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।