未パッチのFastjson脆弱性が攻撃で悪用される

脅威アクターがFastjsonに存在する深刻度クリティカルのリモートコード実行(RCE)脆弱性を悪用していると、セキュリティ研究者が警告しています。

Fastjsonは、AlibabaがJSONのシリアライズ・デシリアライズ用に開発した、Java向けの人気JSON処理ライブラリです。

CVE-2026-16723として追跡されているこの脆弱性はCVSSスコア9で、Spring Bootの実行可能なfat-jarとして稼働するすべての展開環境に影響を及ぼします。これは最も広く使われている展開モデルです。

「この脆弱性はfastjsonの標準的なデフォルト設定下で悪用可能であり、AutoTypeの有効化もクラスパスガジェットも必要ありません」と、Alibabaはアドバイザリで述べています。

この問題は、サポートが終了しているFastjsonバージョン1.2.68から1.2.83(1.xの最終リリース)までに影響します。Fastjsonバージョン2.xは影響を受けません。

「この脆弱性の悪用に成功した攻撃者は、SafeModeが有効化されていない対象サーバー上で任意のコードを実行できます。これはシステムの機密性・完全性・可用性を直接脅かし、サーバーの完全な侵害につながる可能性があります」とThreatBookは警告しています。

この欠陥は、悪意のある@type値を含む細工されたJSONファイルを介して悪用可能です。ライブラリにリソース参照を実行させることで制限を回避し、コード実行につながる経路に到達します。

「このバイパスが可能なのは、FastJson 1.xが型解決の際に@JSONTypeアノテーションの存在を信頼シグナルとして扱う場合があるためです。攻撃者が制御可能なリソース参照とアノテーションベースの信頼動作が組み合わさることで、通常AutoTypeを無効化することに伴う保護機能を回避してしまいます」とImpervaは説明しています。

同社は、米国内のビジネス、コンピューティング、金融サービス、ヘルスケア、小売、その他の業界にわたる組織を標的に、このCVEを悪用する攻撃を観測しています。シンガポールとカナダの組織を狙った攻撃も複数確認されています。

Impervaによると、観測された攻撃の大半はブラウザになりすましたものが起点となっており、約30%がRubyおよびGoで書かれたツールを起点としています。

悪用されているこの脆弱性には公式パッチが提供されていないため、組織にはFastjson 2.xへの移行が推奨されています。移行が不可能な場合は、SafeModeを有効化する、特定の文字列を含むPOSTリクエストおよびJSONリクエストをブロックする、あるいは脆弱なAutoType関連コードを除去したFastjsonビルドを使用することが推奨されます。

「悪用には認証もユーザーの操作も、外部のガジェットライブラリも必要としないため、影響を受ける設定で稼働している公開アプリケーションは、優先度の高い修復対象として扱うべきです」とImpervaは指摘しています。