Alibaba veröffentlichte seine Warnung am 21. Juli nach verantwortungsvoller Offenlegung durch Kirill Firsov von FearsOff Cybersecurity. Die Maintainer beschrieben die Lücke als Kette, die „keine Aktivierung von AutoType“ und „kein Classpath-Gadget“ erfordert. Verifiziert wurde sie laut Alibaba auf Spring Boot 2.x, 3.x und 4.x mit JDK 8, 11, 17 und 21.
Firsov führt das Problem auf den Pfad zur Typauflösung in Fastjson zurück. Ein vom Angreifer kontrollierter @type-Wert könne in eine Abfrage von Klassenressourcen umgewandelt werden. In einem kompatiblen Spring-Boot-Fat-JAR lasse sich über einen präparierten verschachtelten JAR-Pfad vom Angreifer kontrollierter Bytecode laden. Eine @JSONType-Annotation in dieser Ressource könne dann als Vertrauenssignal behandelt werden, sodass die Klasse die Typprüfungen von Fastjson passiert und geladen wird.
Seine technische Analyse beschreibt außerdem einen Pfad für neuere JDK-Versionen, bei dem ein entferntes JAR heruntergeladen und über /proc/self/fd referenziert wird. Die Ausnutzung hängt laut Alibaba ausdrücklich am Loader für ausführbare Spring-Boot-Fat-JARs. Nicht betroffen seien demnach einfache Nicht-Fat-JARs, generische Uber-JARs sowie WAR-Bereitstellungen mit Tomcat oder Jetty.
Als erreichbare Einstiegspunkte nennt Alibaba JSON.parse, JSON.parseObject(String) und JSON.parseObject(String, Class). Das Binden der Eingabe an eine feste Klasse reicht demnach nicht aus, wenn ein Objekt ein Feld vom Typ Object oder Map enthält, in dem die Nutzlast verschachtelt werden kann.
ThreatBook teilte am 22. Juli mit, seine Plattform habe Ausnutzung in freier Wildbahn erfasst, nachdem zwei Tage zuvor Unterstützung zur Erkennung ergänzt worden war. Die Labortests des Unternehmens fielen jedoch enger aus: Vollständige Codeausführung gelang dort in einem Spring-Boot-Fat-JAR mit JDK 8, während ein Test mit eingebettetem Tomcat nur das Nachladen eines entfernten JARs oder serverseitige Anfragenfälschung ergab.
Imperva berichtete über Aktivitäten gegen Organisationen aus Finanzdienstleistungen, Gesundheitswesen, Computing, Einzelhandel und weiteren Bereichen, vor allem in den USA, mit geringeren Volumina in Singapur und Kanada. Nach Angaben des Unternehmens erzeugten Browser-Imitatoren den Großteil der Anfragen; Werkzeuge in Ruby und Go machten zusammen rund 30 Prozent aus.
Weder ThreatBook noch Imperva veröffentlichten Angriffszahlen, Rohanfragen, Ausführungsnachweise, benannte Opfer oder bestätigte Kompromittierungen. Ihre Berichte belegen beobachtete Ausnutzungsaktivität, aber keinen Nachweis erfolgreicher Codeausführung gegen ein reales Ziel oder einer Verletzung.
Auffällig ist zudem eine Abweichung bei der Bewertung: Eine CISA-ADP-Einstufung vom 23. Juli markierte die Ausnutzung dennoch als „keine“. The Hacker News bestätigte am 25. Juli, dass die Schwachstelle nicht im aktuellen Katalog der von CISA als bekannt ausgenutzt geführten Schwachstellen enthalten war. Eine Erklärung für diese Diskrepanz liefern die verfügbaren Quellen nicht.
The Hacker News fand außerdem bis zum 25. Juli weder in den GitHub-Tags des Projekts noch im Maven-Central-Repository ein gepatchtes Fastjson-1.x-Artefakt. Version 1.2.83 bleibt die jüngste reguläre 1.x-Ausgabe, während 1.2.83_noneautotype als eingeschränkter Build verfügbar ist. Fastjson2 ist laut Artikel nicht betroffen, weil dort weder derselbe Pfad zur Ressourcenprüfung noch derselbe annotationsbasierte Vertrauensmechanismus genutzt wird.