CVE-2017-18349 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Fastjson 1.2.25 前版本 `parseObject` 存在反序列化漏洞。 💥 **后果**：远程攻击者发送特制 JSON 请求，即可在目标服务器执行 **任意代码** (RCE)。

🔍 **缺陷点**：JSON 解析器对输入验证不足。 📉 **CWE**：数据中未提供具体 CWE ID，但核心在于 **不安全的反序列化** 处理。

📦 **受影响组件**：Pippo 1.11.0 中的 `FastjsonEngine`。 🔧 **底层库**：使用了 **Fastjson 1.2.25 之前** 的版本。

👑 **权限**：攻击者可获得服务器 **远程代码执行** 权限。 📂 **数据**：可执行系统命令（如创建文件），完全控制受影响的应用进程。

⚡ **门槛**：低。 🌐 **条件**：无需认证，远程即可利用。 📝 **方式**：通过 HTTP POST 发送特制 JSON（如包含恶意 `dataSourceName` 字段）。

📜 **有 Exp**：GitHub 上有完整 PoC。 🛠️ **细节**：利用 `TouchFile.java` 构造恶意类，通过 RMI 或 HTTP 服务加载执行，验证 RCE 能力。

🔎 **自查特征**：检查项目中是否引用 **Fastjson < 1.2.25**。 📡 **扫描**：使用 Nuclei 模板 `CVE-2017-18349.yaml` 检测 Pippo `/json` 端点。

🛡️ **修复**：升级 Fastjson 至 **1.2.25 或更高版本**。 📢 **参考**：阿里巴巴官方安全更新公告。

🚧 **临时规避**：若无法升级，需严格 **过滤/验证** 传入的 JSON 数据。 🚫 **限制**：禁用不安全的功能特性，或部署 WAF 拦截特制 Payload。

🔥 **优先级**：高。 ⚠️ **理由**：远程无认证 RCE，危害极大。建议 **立即** 升级组件或应用缓解措施。