Dynamic Code Evaluation: Serializable Delegate

特定のクラスにシリアライズ可能な Delegate フィールドが含まれているため、クラスをデシリアライズするときに任意のコードが実行される脆弱性が生じます。

Delegate 型は、ユーザー コード内で後で呼び出すことができるメソッド呼び出しへの参照を保持するために使用されます。.NET は Delegate 型のシリアライズ中にカスタム シリアライゼーションを使用し、System.DelegateSerializationHolder クラスを利用して Delegate にアタッチまたはサブスクライブされたメソッド情報を格納します。Delegate オブジェクトのシリアライズされたストリームは、永続ストレージやリモート アプリケーションへの受け渡しには適していません。攻撃者がメソッド情報を悪意のあるオブジェクト グラフを指す情報に置き換えることができれば、任意のコードの実行が可能になるためです。

例 1: 次のクラスにはシリアライズ可能な Delegate フィールドが含まれ、Executor メソッドで呼び出されています。

      ...
      [Serializable]
      class DynamicRunnner
      {
          Delegate _del;
          string[] _arg;
          public DynamicRunnner(Delegate dval, params string[] arg)
          {
              _del = dval;
              _arg = arg;
          }
          public bool Executor()
          {
              return (bool)_del.DynamicInvoke(_arg);
          }
      }
      ...
    

開発者が、Example 1 に記述されたクラスの信頼できないストリームをデシリアライズすると、攻撃者がそのメソッド情報を Process.Start を参照する情報に置き換え、Executor メソッドがコールされたときに任意のプロセスが作成されます。