CVE-2017-18349

总结

Fastjson 1.2.25 之前版本中的 parseObject（用于 Pippo 1.11.0 及其他产品中的 FastjsonEngine）允许远程攻击者通过精心构造的 JSON 请求执行任意代码，如通过向 Pippo 的 /json URI 发送的 HTTP POST 数据中 dataSourceName 字段内的精心构造的 rmi:// URI 所示，该 URI 在 AjaxApplication.java 中被错误处理。

• CVE-2017-18349PoC

  逐步演示CVE-2017-18349 Fastjson反序列化RCE利用过程，涵盖攻击面识别、指纹识别、JNDI注入以及在Docker实验室环境中获取反弹Shell。

• Fastjson--CVE-2017-18349-PoC

  Fastjson CVE-2017-18349 反序列化漏洞的概念验证漏洞利用，演示通过构造的JSON有效载荷和RMI服务器实现远程代码执行。