Insecure Deserialization
Insecure Deserialization е обработване на недоверени serialized objects по начин, който позволява неочакван object graph или executable behavior.
Какво е
Insecure Deserialization е обработване на недоверени serialized objects по начин, който позволява неочакван object graph или executable behavior.
Как работи
Някои serialization frameworks позволяват типове или callbacks, които имат странични ефекти при създаване на object-а. Манипулирани данни могат да доведат до code execution, privilege abuse или logic manipulation.
Как да се предотврати
Не десериализирайте недоверени native objects. Използвайте прости schema-based formats, allow-list на типове, integrity signatures където е нужно, patch-вайте libraries и изолирайте parsing компонентите.
Най-ефективни защити
Подредени по приоритет — P0 е мястото, от което се започва.
Кой предлага защита в България
Услугите от директорията, които намаляват този риск — с броя компании, които ги предлагат.