Désérialisation non sécurisée

La sérialisation transforme un objet en mémoire en une suite d’octets ou de texte pour le stocker ou le transmettre ; la désérialisation fait l’opération inverse. Le danger apparaît quand le format permet de décrire non seulement des données mais aussi des types et des comportements, comme les sérialisations natives de Java, de PHP, de .NET ou le module pickle de Python. En reconstruisant l’objet, l’application peut exécuter du code présent dans ses propres bibliothèques.

L’attaquant n’a pas besoin d’écrire du code nouveau : il assemble des chaînes d’appels à partir de classes déjà chargées par l’application, ce qu’on appelle des « gadgets ». Les données sérialisées se cachent dans des cookies, des paramètres cachés, des jetons de session ou des messages entre services, et passent souvent inaperçues lors d’une lecture rapide de l’application. La meilleure défense consiste à ne pas désérialiser de données non fiables avec un format natif, et à préférer un format de données pur comme JSON, avec un schéma strict. Quand l’usage est inévitable, on signe les données avec un secret détenu par le serveur, on restreint les types acceptés, et on exécute le composant avec le minimum de droits. La mise à jour des bibliothèques réduit les gadgets disponibles.