■ 漏洞描述
Fastjson是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。
fastjson在commit/995845170527221ca0293cf290e33a7d6cb52bf7上提交了旨在修复当字符串中包含x转义字符时可能引发OOM的问题的修复。存在字符串解析异常，可导致远程拒绝服务攻击。
攻击者可以通过发送构造好的请求而致使当前线程瘫痪，当发送的恶意请求过多时有可能使业务直接瘫痪。
 
■ 影响范围
fastjson < 1.2.60版本

 
■ 漏洞检测
1、查看当前使用的版本号。

 
■ 漏洞修复
一、请升级到以下版本：
1.1.15~1.1.31版本更新到1.1.31.sec07版本
1.1.32~1.1.33版本更新到1.1.33.sec06版本
1.1.34 版本更新到1.1.34.sec06版本
1.1.35~1.1.46版本更新到1.1.46.sec06版本
1.2.3~1.2.7版本更新到1.2.7.sec06版本或1.2.8.sec04版本
1.2.8 版本更新到1.2.8.sec06版本
1.2.9~1.2.29 版本更新到1.2.29.sec06版本
官方链接：https://github.com/alibaba/fastjson/releases

 
■ 漏洞详情
https://github.com/alibaba/fastjson/commit/995845170527221ca0293cf290e33a7d6cb52bf7
https://github.com/alibaba/fastjson/releases