Deserialiseringsproblem

Deserialiseringsproblem är ett säkerhetsproblem som uppstår när applikationer deserialiserar data från opålitliga källor utan tillräckliga skyddsåtgärder. Deserialisering innebär att återställa ett objekt ur en serialiserad representation, till exempel en byte- eller textsträng. Om den data som deserialiseras manipuleras kan objektgrafen ändras och i många fall leda till missbruk såsom fjärrkodkörning eller obehörig åtkomst vid deserialisering.

Orsaken är att programmet litar på indata och ofta saknas begränsningar för vilka klasser som får instansieras eller vilka operationer som får köras under deserialiseringen. Bristande integritetsskydd och felaktiga antaganden gör sårbarheten möjlig.

Vanliga plattformar där dessa problem är kända inkluderar Java-serialisering, PHP:s unserialize, Python-pickle och .NET:s BinaryFormatter. Angripare kan utnyttja gadgetkedjor eller andra mekanismer där metoder anropas under deserialisering för att köra kod eller ändra tillstånd.

Motåtgärder omfattar att undvika deserialisering av data från opålitliga källor, eller att starkt kontrollera vad som deserialiseras. Använd säkrare dataformat som JSON eller XML med schemavalidering där det är möjligt, implementera integritets- och äkthetskontroller (till exempel digital signatur eller HMAC), begränsa vilka klasser som får deserialiseras (white-listing), uppdatera bibliotek och genomför säker testning inklusive fuzzing. Genom att separera deserialisering från affärslogik och logga misstänkta försök minskar risken betydligt.