Objektinjection

Objektinjection bezeichnet eine sicherheitsrelevante Schwachstelle, die entsteht, wenn Software Eingaben des Deserialisierungsprozesses überlässt, um Objekte im Arbeitsspeicher wiederherzustellen. Dabei wandelt der Deserialisierer eine serialisierte Repräsentation in echte Objekte um. Wenn Angreifer Eingaben kontrollieren können, haben sie potenziell Einfluss auf den rekonstruierten Objektzustand oder den Ausführungsfluss des Programms.

In vielen Sprachen lässt sich durch manipulierte Serialisierungsdaten Code ausführen oder kontextabhängige Sicherheitseigenschaften manipulieren. Angriffe nutzen oft Gadget-Ketten, bei denen unsichere Klassen Methoden aufrufen, die unerwartete Seiteneffekte erzeugen. Besonders bekannt ist die PHP-Objektinjection durch unserialize, aber auch Java-Serialization, .NET BinaryFormatter und ähnliche Mechanismen können betroffen sein. Ziel ist es, über die Deserialisierung schädliche Pfade zu aktivieren oder sensible Daten offenzulegen.

Die Auswirkungen reichen von Remote Code Execution über Authentifizierungsumgehung und Session-Hijacking bis hin zu Datenverlust oder Serverkompromittierung. Die Schwere hängt von der Umgebung, den vorhandenen Klassen und der Fähigkeit des Angreifers ab, Manipulationen auszuführen, ab. Oft wird die Schwachstelle dort gefunden, wo Anwendungen unüberwacht serialisierte Objekte aus externen Quellen verarbeiten.

Schutzmaßnahmen umfassen das Vermeiden der Deserialisierung untrusted data, strikte Eingabevalidierung und das Verwenden sicherer Formate statt Serialisierung (zum Beispiel JSON). Weitere Maßnahmen sind das Einschränken der zulässigen Klassen (z. B. durch whitelisting), das Hinzufügen von Signaturen oder Prüfsummen, das Patchen betroffener Bibliotheken, der Verzicht auf unsichere Deserialisierungslogik und das Verwenden von deserialisierungssicheren Alternativen.