Die kritische Remote-Code-Execution-Schwachstelle CVE-2026-16723 in der Bibliothek Alibaba Fastjson 1.x (Versionen 1.2.68–1.2.83) ermöglicht es einem Angreifer, ohne Authentifizierung beliebigen Code über eine bösartige JSON-Anfrage auszuführen – vorausgesetzt, die Anwendung ist als Spring-Boot-fat-JAR bereitgestellt und SafeMode verbleibt im standardmäßig deaktivierten Zustand. Alibaba hat die Schwachstelle mit einem CVSS-Score 9.0 bewertet. Nach Angaben der Unternehmen ThreatBook und Imperva werden Exploit-Versuche bereits im realen Datenverkehr beobachtet, während zum 25. Juli noch kein Patch für Fastjson 1.x veröffentlicht wurde. Organisationen, die die betroffenen Versionen einsetzen, müssen SafeMode umgehend aktivieren oder auf Fastjson2 migrieren.
Technische Details der Schwachstelle
Alibaba hat am 21. Juli nach verantwortungsvoller Offenlegung durch den Forscher Kirill Firsov von FearsOff Cybersecurity eine Sicherheitsempfehlung veröffentlicht. Der Hersteller bestätigte die Reproduzierbarkeit der Exploitation-Kette auf Spring Boot 2.x, 3.x und 4.x mit JDK 8, 11, 17 und 21.
Die von Alibaba bestätigten Schlüsselfaktoren der Schwachstelle:
- Betroffene Versionen: Fastjson 1.2.68 – 1.2.83
- Exploitation-Voraussetzung: Anwendung ist als ausführbares Spring-Boot-fat-JAR bereitgestellt
- Angriffsvektor: Netzwerkzugriff auf einen Endpunkt, der vom Angreifer kontrolliertes JSON an den Fastjson-Parser übergibt
- SafeMode: muss deaktiviert sein (Standardzustand)
- AutoType: nicht erforderlich – Exploitation funktioniert bei deaktiviertem AutoType
- Classpath-Gadget: nicht erforderlich
Der letzte Punkt verdient besondere Beachtung. Frühere Fastjson-Schwachstellen, einschließlich des AutoType-Bypasses von 2022, erforderten entweder aktiviertes AutoType oder das Vorhandensein eines geeigneten Gadgets im Classpath. CVE-2026-16723 umgeht beide Einschränkungen, was die Angriffsfläche erheblich vergrößert.
Exploitation-Mechanismus
Dem technischen Analysebericht des Forschers zufolge liegt das Problem im Typauflösungsmechanismus von Fastjson. Ein vom Angreifer kontrollierter Wert von @type wird in eine Ressourcensuche nach einer Klasse umgewandelt. Im Kontext eines Spring-Boot-fat-JARs ermöglicht ein speziell konstruierter Pfad zu einem eingebetteten JAR-Archiv das Laden von Angreifer-Bytecode. Die Annotation @JSONType in dieser Ressource wird vom Parser als Vertrauenssignal interpretiert; anschließend durchläuft die Klasse die Fastjson-Typprüfungen und wird geladen.
Verwundbare Einstiegspunkte umfassen JSON.parse, JSON.parseObject(String) und JSON.parseObject(String, Class). Alibaba betont, dass die Bindung der Eingabedaten an eine feste Klasse keinen ausreichenden Schutz darstellt, sofern das Objekt ein Feld vom Typ Object oder Map enthält, in das eine bösartige Payload eingebettet werden kann.
Alibaba weist darauf hin, dass nicht betroffen sind: reguläre JAR-Dateien (keine fat-JARs), Standard-uber-JARs sowie Deployments als WAR auf Tomcat oder Jetty.
Beobachtete Exploitation-Aktivität
Die Situation hinsichtlich der bestätigten Exploitation ist uneinheitlich. ThreatBook berichtete am 22. Juli über erkannte Exploit-Versuche im realen Netzwerkverkehr. Unter Laborbedingungen reproduzierte das Unternehmen eine vollständige Codeausführung auf einem Spring-Boot-fat-JAR mit JDK 8, während ein Test mit eingebettetem Tomcat lediglich zum Laden eines entfernten JARs oder zu SSRF führte.
Imperva verzeichnete Aktivitäten, die sich gegen Organisationen in den Branchen Finanzdienstleistungen, Gesundheitswesen, Technologie und Einzelhandel richteten – überwiegend in den USA, mit geringeren Volumina in Singapur und Kanada. Nach Angaben des Unternehmens wurde der Großteil der Anfragen von Browser-Emulationswerkzeugen generiert, während Tools auf Basis von Ruby und Go rund 30 % des Traffics ausmachten.
Allerdings hat keiner der Hersteller die Anzahl der Angriffe, Rohanfragen, Belege für erfolgreiche Codeausführung, Namen der Opfer oder bestätigte Kompromittierungen veröffentlicht. Die Berichte dokumentieren beobachtete Exploitation-Aktivität, liefern jedoch keinen Nachweis für erfolgreiches Eindringen in reale Systeme.
Zusätzliche Unklarheit bringt die Position von CISA: Die CISA-ADP-Bewertung vom 23. Juli kennzeichnete den Exploit-Status als none, und die Schwachstelle fehlt im KEV-Katalog. Die Gründe für die Abweichung zu den Angaben der Hersteller werden nicht erläutert.
Auswirkungsbewertung
Fastjson ist eine der am weitesten verbreiteten JSON-Bibliotheken im Java-Ökosystem und insbesondere im chinesischsprachigen Entwicklerumfeld sehr populär. Die Schwachstelle betrifft jede Anwendung, die vier Bedingungen erfüllt: Fastjson-Version 1.2.68–1.2.83, Packaging als Spring-Boot-fat-JAR, einen Netzwerkendpunkt mit JSON-Parsing und deaktiviertem SafeMode. Angesichts der Tatsache, dass SafeMode standardmäßig deaktiviert ist und das Spring-Boot-fat-JAR ein gängiges Deployment-Format darstellt, könnte ein erheblicher Anteil der Anwendungen verwundbar sein.
Besonders kritisch ist, dass Version 1.2.83 von Alibaba als empfohlene Aktualisierung zur Behebung des AutoType-Bypasses von 2022 genannt wurde. Organisationen, die sich ordnungsgemäß auf die letzte 1.x-Version aktualisiert haben, befinden sich nun im verwundbaren Versionsbereich.
Empfehlungen zum Schutz
Zum 25. Juli ist für Fastjson 1.x kein Patch veröffentlicht – Version 1.2.83 bleibt der letzte reguläre Release im 1.x-Zweig. Alibaba empfiehlt folgende Maßnahmen:
- Sofort: SafeMode aktivieren – JVM-Parameter
-Dfastjson.parser.safeMode=truebeim Start der Anwendung hinzufügen - Alternative: eingeschränkten Build verwenden – die Abhängigkeit durch
com.alibaba:fastjson:1.2.83_noneautotypeersetzen - Langfristig: Migration auf Fastjson2 – diese Version ist nicht anfällig, da sie nicht denselben Ressourcen-Suchmechanismus und kein vertrauensbasiertes Modell auf Basis von Annotationen verwendet
Zusätzliche Maßnahmen für Security-Teams:
- Inventarisierung aller direkten und transitiven Abhängigkeiten von Fastjson in sämtlichen Projekten durchführen
- Betroffene Systeme auf verdächtige
@type-Werte in JSON-Anfragen prüfen - Nach Anzeichen einer Kompromittierung suchen: eingebettete JAR-URLs, atypische ausgehende Verbindungen, Kindprozesse von Java, Änderungen im Dateisystem und Webshells
- Das Deployment-Format bewerten – Anwendungen, die als reguläre JARs, uber-JARs oder WAR auf Tomcat/Jetty laufen, sind von dieser Schwachstelle nicht betroffen
Angesichts des CVSS-Scores von 9.0, des fehlenden Patches und der beobachteten Exploitation-Aktivität (wenn auch ohne bestätigte Kompromittierungen) sollte das Aktivieren von SafeMode oder der Wechsel auf den eingeschränkten Build 1.2.83_noneautotype als vorrangige Aufgabe betrachtet werden. Organisationen, die in produktiven Systemen von Fastjson 1.x abhängen, sollten die Migration auf Fastjson2 einplanen – Alibaba positioniert den 1.x-Zweig klar als abgeschlossen, und die aktuelle Situation bestätigt, dass nicht mit einer korrigierten 1.x-Version zu rechnen ist.
