Freigeben über

CA2355: Unsicheres DataSet oder DataTable in einem deserialisierten Objektgraph

Eigenschaft Wert
Regel-ID CA2355
Titel Unsichere DataSet- oder DataTable-Elemente in einem deserialisierten Objektgraph
Kategorie Security
Fix führt zu Unterbrechungen oder bleibt funktionsfähig Untrennbar
Standardmäßig in .NET 10 aktiviert Nein
Anwendbare Sprachen C# und Visual Basic

Ursache

Die Deserialisierung erfolgt, wenn der Objektgraph des gecasteten oder angegebenen Typs ein DataSet oder DataTable enthalten kann.

Diese Regel verwendet einen anderen Ansatz für eine ähnliche Regel, CA2353: Unsicheres DataSet oder DataTable in einem serialisierbaren Datentyp.

Der umgewandelte oder formulierte Typ wird ausgewertet, wann:

Regelbeschreibung

Wenn eine nicht vertrauenswürdige Eingabe mit BinaryFormatter deserialisiert wird und der deserialisierte Objektgraph eine DataSet oder DataTable enthält, kann ein Angreifer einen schädlichen Payload erstellen, um einen Denial-of-Service-Angriff auszuführen. Möglicherweise liegen unbekannte Sicherheitsrisiken bei der Remotecodeausführung vor.

Weitere Informationen finden Sie im Sicherheitsleitfaden für DataSet und DataTable.

So beheben Sie Verstöße

  • Verwenden Sie nach Möglichkeit Entity Framework anstelle von DataSet und DataTable.
  • Stellen Sie sicher, dass die serialisierten Daten nicht manipuliert werden können. Signieren Sie die serialisierten Daten nach der Serialisierung kryptografisch. Überprüfen Sie vor der Deserialisierung die kryptografische Signatur. Schützen Sie den Kryptografieschlüssel vor der Offenlegung und richten Sie Schlüsselrotationen ein.

Wann sollten Warnungen unterdrückt werden?

Eine Warnung aus dieser Regel kann sicher unterdrückt werden, wenn Folgendes gilt:

  • Sie wissen, dass die Eingabe vertrauenswürdig ist. Berücksichtigen Sie, dass sich die Vertrauensstellungsgrenze und Datenflüsse Ihrer Anwendung im Laufe der Zeit ändern können.
  • Sie haben eine der Sicherheitsmaßnahmen unter Behandeln von Verstößen ergriffen.

Unterdrücken einer Warnung

Um nur eine einzelne Verletzung zu unterdrücken, fügen Sie der Quelldatei Präprozessoranweisungen hinzu, um die Regel zu deaktivieren und dann wieder zu aktivieren.

#pragma warning disable CA2355
// The code that's violating the rule is on this line.
#pragma warning restore CA2355

Um die Regel für eine Datei, einen Ordner oder ein Projekt zu deaktivieren, legen Sie den Schweregrad auf none in der Konfigurationsdatei fest.

[*.{cs,vb}]
dotnet_diagnostic.CA2355.severity = none

Weitere Informationen finden Sie unter Vorgehensweise: Unterdrücken von Codeanalyse-Warnungen.

Pseudocodebeispiele

Verletzung

using System.Data;
using System.IO;
using System.Runtime.Serialization;

[Serializable]
public class MyClass
{
    public MyOtherClass OtherClass { get; set; }
}

[Serializable]
public class MyOtherClass
{
    private DataSet myDataSet;
}

public class ExampleClass
{
    public MyClass Deserialize(Stream stream)
    {
        BinaryFormatter bf = new BinaryFormatter();
        return (MyClass) bf.Deserialize(stream);
    }
}

CA2350: Sicherstellen, dass die Eingabe von DataTable.ReadXml() vertrauenswürdig ist

CA2351: Sicherstellen, dass die Eingabe von DataSet.ReadXml() vertrauenswürdig ist

CA2352: Unsichere DataSet- oder DataTable-Elemente in einem serialisierbaren Typ können anfällig für Angriffe durch Remotecodeausführung sein

CA2353: Unsicheres DataSet oder DataTable in einem serialisierbaren Typ

CA2354: Unsichere DataSet- oder DataTable-Elemente in einem deserialisierten Objektgraph können anfällig für Angriffe durch Remotecodeausführung sein

CA2356: Unsichere DataSet- oder DataTable-Elemente in einem webdeserialisierten Objektgraph

CA2361: Sicherstellen, dass die automatisch generierte Klasse mit DataSet.ReadXml() nicht mit nicht vertrauenswürdigen Daten verwendet wird

CA2362: Ein unsicheres DataSet- oder DataTable-Element in einem automatisch generierten, serialisierbaren Typ kann für Angriffe durch Remotecodeausführung anfällig sein

  • Last updated on