Fastjson 1.x รั่วร้าย RCE ยังไม่มีแพตช์แก้ไข

Fastjson รุ่น 1.x ของ Alibaba ถูกเปิดเผยว่ามีช่องโหว่ระดับวิกฤตที่ทำให้ผู้โจมตีสามารถรันโค้ดระยะไกล (RCE) ผ่านคำขอ JSON ที่ไม่ได้รับการตรวจสอบในแอปพลิเคชัน Spring Boot ได้ โดยยังไม่มีแพทช์แก้ไขใดออกมา ณ ปัจจุบัน การโจมตีนี้อาจให้สิทธิ์ระดับกระบวนการ Java ทั้งหมดแก่ผู้บุกรุก ทำให้ความเสี่ยงต่อระบบไอทีขององค์กรหลายแห่งเพิ่มสูงขึ้นอย่างรวดเร็ว

Overview

Fastjson เป็นไลบรารีจัดการ JSON ที่ได้รับความนิยมในโครงการพัฒนาแอปพลิเคชันบนแพลตฟอร์ม Java เนื่องจากประสิทธิภาพและความง่ายต่อการใช้งาน บริษัทหลายแห่งรวมถึงองค์กรระดับโลกได้นำ Fastjson 1.x ไปใช้เป็นส่วนหนึ่งของสถาปัตยกรรม Spring Boot เพื่อรับ-ส่งข้อมูลในรูปแบบ JSON อย่างกว้างขวาง ตามรายงานของบริษัทด้านความปลอดภัย ThreatBook และ Imperva การโจมตีที่อาศัยช่องโหว่นี้เริ่มปรากฏขึ้นแล้วและกำลังถูกใช้ในการทำกิจกรรมทางไซเบอร์อย่างต่อเนื่อง

การวิจัยระบุว่าเมื่อผู้โจมตีส่ง JSON ที่มีลักษณะพิเศษไปยังแอปพลิเคชันที่ผสาน Fastjson 1.x อยู่ ระบบจะทำการ deserialize ข้อมูลโดยไม่ตรวจสอบชนิดของคลาสที่ถูกเรียกใช้ ส่งผลให้โค้ดใด ๆ ที่กำหนดใน payload สามารถดำเนินการได้ทันทีโดยไม่มีขั้นตอนการยืนยันตัวตน นอกจากนี้ โค้ดยังทำงานภายใต้สิทธิ์ของกระบวนการ Java ที่รันแอปพลิเคชันนั้น ทำให้ผู้โจมตีสามารถเข้าถึงทรัพยากรระบบทั้งหมด

Technical Details

ช่องโหว่ถูกระบุด้วย CVE‑2026‑16723 และได้รับคะแนนความรุนแรงจาก Alibaba ระดับ CVSS 9.0 ซึ่งอยู่ในระดับวิกฤตตามมาตรฐานการประเมินความเสี่ยงของซอฟต์แวร์ รายละเอียดเชิงเทคนิคบ่งชี้ว่าการโจมตีต้องอาศัยเงื่อนไขต่อไปนี้:

แอปพลิเคชันต้องใช้ Fastjson รุ่น 1.x หรือรุ่นที่มีลักษณะการทำงานคล้ายกัน
การตั้งค่า deserialization ต้องเปิดใช้งานคุณสมบัติ auto‑type conversion โดยไม่ได้จำกัดคลาสที่อนุญาตให้โหลด
ผู้โจมตีสามารถส่งคำขอ JSON ไปยัง endpoint ที่รับข้อมูลโดยตรงจากผู้ใช้

เมื่อเงื่อนไขเหล่านี้ครบถ้วน โค้ดใด ๆ ที่ระบุใน payload จะถูกเรียกใช้งานทันที ทำให้เกิดการรันโค้ดแบบไม่มีการตรวจสอบ (unauthenticated RCE)

Impact

ผลกระทบของช่องโหว่นี้อาจครอบคลุมองค์กรที่ใช้ Spring Boot เป็นพื้นฐานในการพัฒนา microservices หรือ API ต่าง ๆ ทั้งในภาคเอกชนและหน่วยงานรัฐ เนื่องจาก Fastjson มักถูกผนวกเป็นไลบรารีหลักสำหรับการแปลงข้อมูล JSON การโจมตีที่สำเร็จอาจทำให้ผู้ประสงค์ร้ายสามารถเข้าถึงฐานข้อมูล, ดึงข้อมูลสำคัญ หรือแม้กระทั่งขโมยคีย์ส่วนตัวของระบบได้

ตามข้อมูลจาก ThreatBook มีกรณีหลายกรณีที่ผู้โจมตีใช้ช่องโหว่นี้เพื่อสอดแนมและขยายอิทธิพลในเครือข่ายภายในองค์กร โดยเฉพาะอย่างยิ่งในแวดวงบริการคลาวด์ที่มีการปรับใช้ Spring Boot อย่างกว้างขวาง การไม่มีแพทช์แก้ไขทำให้ผู้ดูแลระบบต้องเร่งหาวิธีป้องกันด้วยตนเองเพื่อหลีกเลี่ยงการถูกโจมตี

Mitigation Measures

ในสถานการณ์ที่ยังไม่มีการปล่อยแพทช์อย่างเป็นทางการ ผู้ดูแลระบบและนักพัฒนาควรดำเนินการตามขั้นตอนต่อไปนี้เพื่อลดความเสี่ยง:

ปิดฟีเจอร์ auto‑type ของ Fastjson หรือจำกัดรายการคลาสที่อนุญาตให้ deserialize อย่างเคร่งครัด
ใช้ไลบรารีเวอร์ชันใหม่หรือสวิตซ์ไปยังตัวจัดการ JSON ตัวอื่นที่ไม่มีช่องโหว่นี้ เช่น Jackson หรือ Gson
ตรวจสอบและทำ validation ของข้อมูล JSON ก่อนส่งต่อให้ Fastjson ประมวลผลโดยใช้ schema validation หรือ whitelist ของฟิลด์ที่คาดว่าจะรับได้

การเพิ่มมาตรการตรวจจับพฤติกรรมผิดปกติในระดับเครือข่าย เช่น การมอนิเตอร์คำขอ JSON ที่มีขนาดหรือโครงสร้างแปลกประหลาด ก็เป็นอีกวิธีหนึ่งที่จะช่วยระบุการโจมตีตั้งแต่ขั้นต้น

Outlook

ตามที่บริษัท Imperva รายงาน ความพยายามในการใช้ช่องโหว่ CVE‑2026‑16723 จะเพิ่มขึ้นอย่างต่อเนื่องจนกว่าจะมีแพทช์ออกมา เนื่องจากผู้โจมตีมองเห็นศักยภาพในการเข้าถึงระบบที่สำคัญผ่านจุดอ่อนของไลบรารีที่ใช้อย่างแพร่หลาย การพัฒนาซอฟต์แวร์ในอนาคตอาจต้องให้ความสนใจมากขึ้นกับการตั้งค่า default ของไลบรารีเพื่อป้องกันการเปิดช่องโหว่โดยไม่ได้ตั้งใจ

องค์กรควรเตรียมพร้อมรับมือด้วยกระบวนการ incident response ที่รวดเร็วและมีแผนสำรองในกรณีที่ระบบถูกคุกคาม การติดตามข่าวสารอัปเดตจาก Alibaba และชุมชนผู้ใช้ Fastjson จะเป็นข้อมูลสำคัญในการประเมินความเสี่ยงต่อเนื่อง

Summary

ช่องโหว่ RCE ของ Fastjson 1.x (CVE‑2026‑16723) มีคะแนน CVSS 9.0 และยังไม่มีแพทช์แก้ไข ทำให้แอปพลิเคชัน Spring Boot ที่ใช้ไลบรารีนี้เสี่ยงต่อการรันโค้ดระยะไกลโดยไม่ได้รับอนุญาต ผู้ดูแลระบบควรปรับตั้งค่าเพื่อปิด auto‑type หรือย้ายไปใช้ไลบรารีอื่น และติดตามอัปเดตจากผู้พัฒนาอย่างใกล้ชิดเพื่อลดผลกระทบที่อาจเกิดขึ้น.