Dynamic Code Evaluation: Unsafe Deserialization

La deserialización de las secuencias de objetos controlados por el usuario en tiempo de ejecución puede permitir que los atacantes ejecuten código arbitrario en el servidor, aprovechen la lógica de la aplicación o puedan dar lugar a la denegación de servicio.

La serialización de .NET convierte los gráficos de objeto en secuencias de bytes o XML que contienen dichos objetos y los metadatos necesarios para reconstruirlos a partir de la secuencia. Los desarrolladores pueden crear un código personalizado para asistir en el proceso de deserialización de objetos .NET, en el que pueden reemplazar los objetos deserializados por otros objetos o servidores proxy. El proceso personalizado de deserialización tiene lugar durante la reconstrucción de los objetos antes de devolverlos a la aplicación y convertirlos en los tipos esperados. Es posible que el código ya se haya ejecutado cuando los desarrolladores intenten hacer cumplir un tipo esperado.

Ejemplo 1: La siguiente función toma un objeto Stream de una conexión como entrada y lo deserializa de vuelta en un objeto .NET. A continuación, devuelve el resultado tras convertirlo en una lista de objetos de cadena:

...
List <string> Deserialize(Stream input)
{
  var bf = new BinaryFormatter();
  var result = (List <string>)bf.Deserialize(input); 
  return result;
}
...

Para comprenderlo mejor, el Example 1 se puede reescribir como se muestra a continuación:

Ejemplo 2:

...
List <string> Deserialize(Stream input)
{
  var bf = new BinaryFormatter();
  object tmp = bf.Deserialize(input);
  List <string> result = (List <string>)tmp;
  return result;
}
...

En el Example 2, la operación de deserialización se realizará correctamente siempre y cuando la secuencia de entrada sea válida, sin importar que el tipo sea List <string> o no.

Las rutinas personalizadas de deserialización quedan definidas en las clases serializables que tienen que estar presentes en la carpeta bin o en GAC y que el atacante no puede insertar, de forma que estos ataques dependen de las clases disponibles en el entorno de la aplicación. Por desgracia, es posible aprovechar las clases comunes de otros fabricantes, o incluso las clases de .NET, para agotar los recursos del sistema, eliminar archivos, implementar archivos malintencionados o ejecutar un código arbitrario.