一、 漏洞说明

近日，Fastjson Develop Team发布安全公告，修复了一个存在于Fastjson1.2.80及之前版本中的反序列化漏洞。

Fastjson已使用黑白名单用于防御反序列化漏洞，该利用在特定条件下可绕过默认autoType关闭限制，攻击远程服务器，风险影响较大。在默认配置下，当应用或系统使用Fastjson对由用户可控的JSON字符串进行解析时，将可能导致远程代码执行的危害 。

二、 Fastjson升级步骤

1、 BOS补丁zip包中trd目录下找到trd-commons-json.zip

2、 用fastjson-1.2.83.jar替换上图红框标记fastjson-1.2.x.jar包，保存后重启服务

3、 最新fastjson-1.2.83.jar文件详见附件。

金蝶云苍穹关于fastjson漏洞升级说明.docx

fastjson-1.2.83.jar.zip