Insecure Deserialization
Unsichere Deserialisierung führt beim Deserialisieren nicht vertrauenswürdiger Daten in Objekte beliebigen Code aus oder injiziert Objekte; eine OWASP-Top-10-Schwachstelle.
Zweck
Das Code-Ausführungsrisiko der nativen Deserialisierung und ihre Abwehr verstehen; eine häufige RCE-Schwachstelle in Java/Python/C#.
Mechanismus
Java ObjectInputStream.readObject, Python pickle.loads und ähnliche rufen objektdefinierte Methoden während der Deserialisierung auf; Angreifer gestalten bösartige serialisierte Daten, um beliebigen Code auszulösen. Abwehr: Typ-Whitelists, JSON, Signaturprüfung.
Anwendungsfälle
- Java-RCE-Schwachstellen
- Python-pickle-Sicherheit
- Deserialisierungs-Abwehr