В библиотеке Fastjson для Java обнаружена критическая уязвимость, которую хакеры уже начали эксплуатировать в реальных атаках. Проблема позволяет удаленно выполнять код на сервере без необходимости аутентификации или какого-либо взаимодействия с жертвой.

Уязвимость относится к классу RCE и связана с особенностями десериализации данных в Fastjson — популярной библиотеке для работы с JSON в Java-приложениях. Для эксплуатации достаточно отправить специально сформированный запрос на сервер, использующий уязвимую версию библиотеки.

Fastjson широко применяется в различных корпоративных системах, включая веб-приложения, API и микросервисы. Разработчикам рекомендуется срочно обновить библиотеку до последней версии, в которой закрыта эта брешь.

В ближайшее время стоит ожидать роста количества атак, нацеленных на системы с неустановленным патчем, особенно в публичных сетях.