关于新老版本Fastjson反序列化漏洞的疑问

【myApps/OBPM版本号】：v4.4- sp 21
【浏览器类型】：360
【联系方式-QQ】：991466514
【联系电话】:    请留下您的联系电话，以便技术同事更好解决您的问题
【问题描述】：
      前一段时间官方发布了Fastjson反序列化漏洞风险通告，客户这边需要我们排查一下，当时在我们售后群问了下得到的回复是对4.4版本没有影响，但是之前的1.6是有影响的，然后我们自己看了下，发现4.4版本用到的是fastjson-1.2.69.jar，根据查到的资料的说法，小于≤1.2.80是会影响到的，于是我们自己下载了fastjson-1.2.83.jar进行了替换，目前运行正常。
      然后是老版本的1.6，经过查看并没有引用任何版本的fastjson包，这样的话按理说是不会受到该问题的影响的？
      在售后群问了贵方人员，但是不知为何一整天了仍然没有人回复，故发此贴，请分别确认以下两个疑问：

①1.6版本到底存不存在fastjson反序列化漏洞，看了下lib文件夹下没有相关的包，是不是可以认为没用到？
②4.4版本用的是fastjson-1.2.69.jar，小于≤1.2.80版本（资料说小于该版本的会受到影响）。我们已经替换成了fastjson-1.2.83.jar，这样是否可以认为对于我们项目上的4.4版本，该漏洞已经修复掉？

您好，今天确认情况后回复您呀。

lillian828 发表于 2022-6-1 05:14
您好，今天确认情况后回复您呀。

确认完毕结果没有，马上过节了

目前4.4是fastjson-1.2.83.jar

lillian828 发表于 2022-6-6 06:00
目前4.4是fastjson-1.2.83.jar

我们这边的包是1.2.69的，不过可能是去年初版本的愿意，已经换成1.2.80了，现在请注意最需要明确的“1.6版本的应该是没用到这个东西，是不受影响的吧？”

北京智源普华 发表于 2022-6-6 14:39
我们这边的包是1.2.69的，不过可能是去年初版本的愿意，已经换成1.2.80了，现在请注意最需要明确的“1.6 ...

需要再确认一下回复您

北京智源普华 发表于 2022-6-6 14:39
我们这边的包是1.2.69的，不过可能是去年初版本的愿意，已经换成1.2.80了，现在请注意最需要明确的“1.6 ...

1.6没用到的

好的  结贴吧