Dynamic Code Evaluation: Serializable Delegate

Um campo Delegate serializável em uma determinada classe introduz uma vulnerabilidade de execução de código arbitrário ao desserializar a classe.

O tipo Delegate é usado para manter referência a uma chamada de método que pode ser invocada posteriormente no código do usuário. .NET usa a serialização personalizada durante a serialização dos tipos Delegate e utiliza a classe System.DelegateSerializationHolder para armazenar as informações do método que estão anexadas ou inscritas em um Delegate. O fluxo serializado do objeto Delegate não é adequado para armazenamento persistente ou para passá-lo para aplicativos remotos, porque se um invasor puder substituir as informações do método por uma que aponte para um gráfico de objeto malicioso, o invasor poderá executar código arbitrário.

Exemplo 1: A seguinte classe contém um campo serializado Delegate e está sendo invocada no método Executor:

      ...
      [Serializable]
      class DynamicRunnner
      {
          Delegate _del;
          string[] _arg;
          public DynamicRunnner(Delegate dval, params string[] arg)
          {
              _del = dval;
              _arg = arg;
          }
          public bool Executor()
          {
              return (bool)_del.DynamicInvoke(_arg);
          }
      }
      ...
    

Se o desenvolvedor desserializar um fluxo não confiável da classe mencionada no Example 1, pode ser que um invasor consiga substituir as informações de método por informações que apontem para Process.Start. Isso causará a criação de um processo arbitrário quando o método Executor for chamado.