CA2355: Objeto DataSet o DataTable no seguro en un gráfico de objetos deserializado
| Propiedad | Value |
|---|---|
| Identificador de la regla | CA2355 |
| Título | Objeto DataSet o DataTable no seguro en un gráfico de objetos deserializado |
| Categoría | Seguridad |
| La corrección interrumpe o no interrumpe | Poco problemático |
| Habilitado de forma predeterminada en .NET 9 | No |
Causa
La deserialización con el gráfico de objetos del tipo convertido o especificado pueden incluir DataSet o DataTable.
Esta regla usa un enfoque diferente para una regla similar, CA2353: Unsafe DataSet or DataTable in serializable type (DataSet o DataTable no seguro en un tipo serializable).
El tipo convertido o especificado se evalúa cuando:
- Se inicializa un objeto DataContractSerializer.
- Se inicializa un objeto DataContractJsonSerializer.
- Se inicializa un objeto XmlSerializer.
- Se invoca JavaScriptSerializer.Deserialize.
- Se invoca JavaScriptSerializer.DeserializeObject.
- Se invoca XmlSerializer.FromTypes.
- Se invoca Newtonsoft Json.NET JsonSerializer.Deserialize.
- Se invoca Newtonsoft Json.NET JsonConvert.DeserializeObject.
Descripción de la regla
Si se deserializa la entrada que no es de confianza con BinaryFormatter y el gráfico de objetos deserializados contiene DataSet o DataTable, un atacante puede crear una carga malintencionada para realizar un ataque por denegación de servicio. Puede haber vulnerabilidades de ejecución de código remoto desconocidas.
Para obtener más información, vea Guía de seguridad de DataSet y DataTable.
Cómo corregir infracciones
- Si es posible, use Entity Framework en lugar de DataSet y DataTable.
- Proteja los datos serializados contra alteraciones. Después de la serialización, firme criptográficamente los datos serializados. Antes de la deserialización, valide la firma criptográfica. Proteja la clave criptográfica para que no se revele y diseñe las rotaciones de clave.
Cuándo suprimir las advertencias
Se puede suprimir una advertencia de esta regla si:
- Sabe que la entrada es de confianza. Considera que el límite de confianza de la aplicación y los flujos de datos pueden cambiar con el tiempo.
- Ha tomado una de las precauciones indicadas en Cómo corregir infracciones.
Supresión de una advertencia
Si solo quiere suprimir una única infracción, agregue directivas de preprocesador al archivo de origen para deshabilitar y volver a habilitar la regla.
#pragma warning disable CA2355
// The code that's violating the rule is on this line.
#pragma warning restore CA2355
Para deshabilitar la regla de un archivo, una carpeta o un proyecto, establezca su gravedad en none del archivo de configuración.
[*.{cs,vb}]
dotnet_diagnostic.CA2355.severity = none
Para obtener más información, consulte Procedimiento para suprimir advertencias de análisis de código.
Ejemplos de pseudocódigo
Infracción
using System.Data;
using System.IO;
using System.Runtime.Serialization;
[Serializable]
public class MyClass
{
public MyOtherClass OtherClass { get; set; }
}
[Serializable]
public class MyOtherClass
{
private DataSet myDataSet;
}
public class ExampleClass
{
public MyClass Deserialize(Stream stream)
{
BinaryFormatter bf = new BinaryFormatter();
return (MyClass) bf.Deserialize(stream);
}
}
Reglas relacionadas
CA2350: Asegurarse de que la entrada de DataTable.ReadXml() sea de confianza
CA2351: Asegúrese de que la entrada de DataSet.ReadXml() sea de confianza
CA2353: Objeto DataSet o DataTable no seguro en un tipo serializable
