Dynamic Code Evaluation: Serializable Delegate

Un campo serializable Delegate en una clase determinada introduce una vulnerabilidad de ejecución de código arbitrario al deserializar la clase.

El tipo Delegate se utiliza para contener la referencia a una llamada a un método que se puede invocar más adelante en el código de usuario. .NET utiliza serialización personalizada durante los tipos de serialización Delegate y utiliza la clase System.DelegateSerializationHolder para almacenar la información del método que está adjunto o suscrito a un Delegate. El flujo serializado del objeto Delegate no es adecuado para el almacenamiento persistente o para pasarlo a una aplicación remota, porque si un atacante puede reemplazar la información del método con una que apunte a un gráfico de objeto malicioso, el atacante podrá ejecutar un código arbitrario.

Ejemplo 1: La siguiente clase contiene un campo serializable Delegate y se invoca en el método Executor:

      ...
      [Serializable]
      class DynamicRunnner
      {
          Delegate _del;
          string[] _arg;
          public DynamicRunnner(Delegate dval, params string[] arg)
          {
              _del = dval;
              _arg = arg;
          }
          public bool Executor()
          {
              return (bool)_del.DynamicInvoke(_arg);
          }
      }
      ...
    

Si el desarrollador deserializa una secuencia que no es de confianza de la clase mencionada en el Example 1, un atacante podría sustituir la información del método con información que apuntase a Process.Start, con lo que se crearía un proceso arbitrario cuando se llamase al método Executor.