CVE-2026-16723: Kritische RCE in Fastjson 1.x, aktive Ausnutzung in Spring-Boot-Umgebungen

Einleitung

Am 21. Juli 2026 veröffentlichte Alibaba eine Sicherheitswarnung zu CVE-2026-16723, einer kritischen Remote-Code-Execution-Schwachstelle (RCE) mit einem CVSS-Score von 9.0, die die Java-Bibliothek Fastjson 1.x betrifft. Die vom Forscher Kirill Firsov (FearsOff Cybersecurity) entdeckte Lücke ermöglicht es einem nicht authentifizierten Angreifer, die Kontrolle über den Java-Prozess zu übernehmen, indem er einfach eine bösartige JSON-Anfrage sendet. Einen Tag später registrierte ThreatBook erste aktive Angriffsversuche, die später von Imperva bestätigt wurden. Die Schwachstelle betrifft ausschließlich Spring-Boot-Anwendungen, die als ausführbare Fat-JAR gepackt sind und bei denen der SafeMode (Standardzustand) nicht aktiviert wurde. Bis zum 25. Juli, dem letzten verfügbaren Update, gab es noch keinen Patch für den 1.x-Zweig, sodass Gegenmaßnahmen unerlässlich sind.

Technische Analyse

Die Schwachstelle liegt im Deserialisierungsmechanismus, der auf dem Schlüssel @type basiert. Selbst bei deaktiviertem AutoType löst ein speziell konstruierter @type-Payload eine Ressourcenabfrage (Resource Probe) aus, die im Kontext einer Spring-Boot-Fat-JAR vom Angreifer kontrollierten Bytecode über einen verschachtelten JAR-Pfad abruft. Auf aktuellen JDK-Versionen nutzt der Exploit das virtuelle Dateisystem /proc/self/fd, um Beschränkungen zu umgehen und einen Verweis auf eine entfernte JAR-Datei zu erhalten, ohne dass bereits vorhandene Gadgets im Klassenpfad erforderlich sind.

Die einzige notwendige Bedingung ist, dass der Server einen Endpunkt bereitstellt, der JSON mittels Methoden wie JSON.parse oder parseObject(String) analysiert. Die schädliche Anfrage kann sogar in verschachtelte Object- oder Map-Felder injiziert werden, wodurch jeder Schutz auf Basis oberflächlicher Schema-Prüfungen wirkungslos wird. Der Angriff erfolgt vor der Authentifizierung, erfordert keine Anmeldedaten und führt zur Ausführung beliebigen Codes mit den Rechten des Java-Prozesses.

Auswirkungen

Die Kompromittierung ist vollständig: von Datendiebstahl über die Installation von Malware bis hin zur lateralen Bewegung in andere interne Systeme. Die ersten Kampagnen, die ab dem 22. Juli beobachtet wurden, zielten vorwiegend auf die Branchen Finanzen, Gesundheitswesen, Einzelhandel und IT in den Vereinigten Staaten ab, mit kleineren Vorfällen in Singapur und Kanada. Zwar liegen noch keine Zahlen zu bestätigten Kompromittierungen vor, doch die einfache Ausnutzbarkeit macht das Risiko für jede Organisation real, die betroffene Versionen einsetzt.

Am 23. Juli stufte das CISA-ADP-Programm die aktive Ausnutzung als „nicht vorhanden“ ein, weshalb die CVE nicht in den Known Exploited Vulnerabilities-Katalog aufgenommen wurde. Diese Bewertung widerspricht jedoch den von Sicherheitsanbietern gesammelten Erkenntnissen und zeigt ein sich schnell entwickelndes Lagebild.

Gegenmaßnahmen

Da kein Patch für den 1.x-Zweig geplant ist – die Version 1.2.83, bislang die letzte stabile, liegt nun im verwundbaren Bereich – ist es erforderlich, unverzüglich eine der folgenden Gegenmaßnahmen zu ergreifen:

• SafeMode aktivieren, indem das JVM-Flag -Dfastjson.parser.safeMode=true hinzugefügt wird. Dadurch wird die @type-Funktionalität vollständig deaktiviert und der Exploit-Trigger unterbunden.
• Die Abhängigkeit ersetzen durch das eingeschränkte Artefakt com.alibaba:fastjson:1.2.83_noneautotype, das die Ressourcenabfrage unterbindet, während die Kompatibilität mit bestehendem Code erhalten bleibt.
• Migration zu Fastjson2 planen – dieses verwendet keinen derartigen Resource-Probe-Mechanismus und ist nicht von der Schwachstelle betroffen.

Zusätzliche Maßnahmen zur Erkennung und Härtung:

• Sämtliche Vorkommen von Fastjson (auch transitive) in Entwicklungs-, Test- und Produktionsumgebungen erfassen.
• Logs auf @type in Verbindung mit verschachtelten JAR-Pfaden, ungewöhnlichen Netzwerkverbindungen, Spawn von Kindprozessen oder verdächtigen Dateisystem-Schreibzugriffen (z. B. Web-Shells) überwachen.
• Sicherstellen, dass Parsing-Methoden kein JSON aus nicht vertrauenswürdigen Quellen akzeptieren, auch wenn sie scheinbar festen Klassen zugeordnet sind.

FAQ

Welche Fastjson-Versionen sind genau betroffen?
Gefährdet sind die Versionen 1.2.68 bis 1.2.83, allerdings nur dann, wenn die Anwendung eine ausführbare Spring-Boot-Fat-JAR ist und der SafeMode nicht aktiviert wurde (Standard). Einfache JARs, generische Uber-JARs und WAR-Deployments auf Tomcat/Jetty erfüllen nicht die für die Ausnutzung nötige Bedingung.

Ist meine Anwendung auch ohne AutoType gefährdet?
Ja. Der Angriff nutzt nicht die AutoType-Funktion, sondern eine interne Ressourcenabfrage, die beim Empfang eines manipulierten @type-Werts ausgelöst wird. Das Deaktivieren von AutoType reicht nicht aus, um den Payload zu blockieren; auch das Fehlen von Gadgets im Klassenpfad bietet keinen Schutz.

Ich kann nicht sofort auf Fastjson2 migrieren – was soll ich jetzt tun?
Die beiden unmittelbaren Gegenmaßnahmen – SafeMode aktivieren oder das Artefakt 1.2.83_noneautotype verwenden – bieten vollständigen Schutz, ohne dass der Anwendungscode geändert werden muss. Beide sind rückwärtskompatibel und können sofort umgesetzt werden, während die Migration zu Fastjson2 vorbereitet wird.