漏洞详情
漏洞根源在于 Fastjson2 对 @type 属性的处理逻辑存在缺陷：在默认配置下（即未启用 SupportAutoType 时），解析器仍会处理通用对象元素开头的 @type 属性。其"AutoType 已禁用"的校验分支采用的是哈希比对机制——将输入字符串的增量 FNV-1a 哈希值与默认接受的哈希列表进行匹配，但在哈希命中之后，并未进一步确认实际的文本内容是否真正等于预期的白名单类名。由于 FNV-1a 属于非密码学哈希，攻击者可以针对任意前缀构造 FNV chosen-prefix 碰撞，使一个 URL 形态的字符串通过校验并进入应用的上下文类加载器，最终导致任意代码执行。这也是该漏洞不依赖目标环境中已有危险类、且不受 JDK 版本限制的原因。

该漏洞属于远程代码执行类型，危害等级为高。攻击者可通过网络远程发起利用，无需任何权限认证，无需用户交互，且在框架默认配置下即可触发。利用成功后，攻击者可在服务器上执行任意代码，进而可能完全控制服务器、窃取敏感数据或导致整个业务系统沦陷。考虑到 Fastjson2 通常部署在直接接收外部 JSON 请求的接口层和网关层，攻击面暴露程度较高，建议尽快处置。

影响范围
Fastjson2 <= 2.0.62 

排查方法
确认依赖版本：Maven 项目可执行 mvn dependency:tree | grep fastjson2，Gradle 项目可执行 gradle dependencies，确认 Fastjson2 版本是否 ≤ 2.0.62。小于该版本的均受影响。

修复建议
升级修复（推荐）：直接应用官方修复 commit（PR#7703）。
临时缓解方案：若短期内无法升级，可采取以下措施降低风险。一是禁用 AutoType，通过开启 SafeMode 或改用 noneautotype 版本，从根本上杜绝此类反序列化风险，其中 SafeMode 可通过 JVM 参数 -Dfastjson2.parser.safeMode=true 开启；若业务逻辑本身依赖 AutoType 特性，开启前应先做好兼容性测试。二是在 WAF 或网关层配置拦截规则，对请求体中 key 包含 @type 字段的 JSON 数据进行拦截。缓解措施仅作为过渡手段，仍应尽快完成版本升级。

产品支持
云安服-安全监测平台：默认支持该产品的指纹识别，已更新漏洞检测规则，已支持该漏洞的在线检测。
昆仑漏洞扫描平台专业漏洞检测工具，已更新漏洞检测规则，已支持该漏洞的在线检测。
实战化攻防技能演训平台：模拟真实攻防仿真场景，提升蓝军、红军实战应对能力训练平台。
云瞳云WAF：为中小企业提供一键化接入和专业级防护，有效应对 Web攻击、入侵、漏洞利用、挂马、篡改、后门、爬虫等 Web业务安全防护问题。

参考链接
https://github.com/alibaba/fastjson2/pull/7695/changes