【漏洞预警】FastJson远程代码执行漏洞安全预警通告

经过深入分析发现，该漏洞利用方式通过使用@type指定java.lang.Class绕过autoType机制并且将JndiDataSourceFactory注入到mappings，虽然FastJson在1.2.46版本就已经将JndiDataSourceFactory加入黑名单，但是代码执行流程在进入checkAutoType后，在黑名单检测流程前就提前返回了class对象，所以不用考虑黑名单机制。

FastJson的DefaultJSONParser是FastJson的默认JSON解析器，该解析器使用假定有序快速匹配算法对JSON数据进行解析，当解析到@type，并且@type不为空会调用checkAutoType进行安全检查；由于FastJson在设计的时候就考虑到性能，所以FastJson使用ASM直接生成对象而不是用反射。

所以在MiscCodec的责任链中，java.lang.Class拥有类加载的能力。

在FastJson 1.2.47的TypeUtils中，由于loadClass的cache参数默认为True，导致JndiDataSourceFactory被注入到mappings，从而引发了代码执行。

在FastJson 1.2.48中，TypeUtils的cache参数被修改为false，所以无法使用java.lang.Class将恶意链再注入到mappings中。

由于使用java.lang.Class成功将恶意链注入到mappings，所以在ParserConfig中成功的从deserializers获取typeName导致clazz不为空，绕过了autoType。

最终这个精妙的代码执行路径实现了任意代码执行。