CVE-2017-18349: RCE in Fastjson via JSON crafted

CVE-2017-18349 è una vulnerabilità di esecuzione di codice remoto (RCE) in Fastjson prima della versione 1.2.25. La falla risiede nel metodo parseObject che elabora richieste JSON crafted. Gli attaccanti sfruttano un URI rmi:// inserito nel campo dataSourceName di una richiesta HTTP POST per eseguire codice arbitrario. La vulnerabilità colpisce Fastjson e i prodotti che lo includono, incluso FastjsonEngine in Pippo 1.11.0 e altri software.

Il punteggio CVSS è 10,0, il livello massimo di criticità. La vulnerabilità è stata resa pubblica su NVD il 23 ottobre 2018. A partire da novembre 2026, segnali da repository GitHub indicano la disponibilità di ambienti e prove di concetto relativi a CVE-2017-18349. Non si tratta di sfruttamento attivo confermato, ma di segnali pubblici su strumenti di ricerca disponibili.

I team IT e gli amministratori devono identificare tutte le istanze di Fastjson < 1.2.25 in ambiente di produzione e aggiornare a versione 1.2.25 o successiva. Se Pippo è in uso, verificare che il numero di versione sia superiore a 1.11.0. Applicare la patch ufficiale è l'unica mitigazione efficace; non è consigliabile scaricare o eseguire exploit da repository pubblici. Monitorare i log di accesso ai servizi interessati per rilevare tentativi di sfruttamento anomali.