CA2305: Jangan gunakan pendeserialisasi yang tidak aman LosFormatter

Properti	Nilai
ID Aturan	CA2305
Judul	Jangan gunakan deserializer LosFormatter yang tidak aman
Kategori	Keamanan
Perbaikan bersifat merusak atau tidak merusak	Tidak terputus
Diaktifkan secara default di .NET 10	Tidak
Bahasa yang berlaku	C# dan Visual Basic

Penyebab

Metode System.Web.UI.LosFormatter deserialisasi dipanggil atau dirujuk.

Deskripsi aturan

Proses deserialisasi yang tidak aman rentan dalam konteks keamanan saat mendeserialisasi data yang tidak tepercaya. Penyerang dapat mengubah data yang diserialisasikan untuk memasukkan jenis tidak terduga untuk menyuntikkan objek dengan efek samping yang berbahaya. Serangan terhadap pendeserialisasi yang tidak aman dapat, misalnya, menjalankan perintah pada sistem operasi dasar, berkomunikasi melalui jaringan, atau menghapus file.

Aturan ini menemukan System.Web.UI.LosFormatter panggilan atau referensi metode deserialisasi.

LosFormatter tidak aman dan tidak dapat dibuat aman. Untuk informasi selengkapnya, lihat panduan keamanan BinaryFormatter.

Cara memperbaiki pelanggaran

• Gunakan serializer yang aman sebagai gantinya, dan jangan izinkan penyerang menentukan tipe sembarangan ketika mendeserialisasi. Untuk informasi selengkapnya, lihat Alternatif pilihan.
• Buat data yang diserialisasi agar tahan rusak. Setelah serialisasi, tanda tangani secara kriptografi data yang diserialisasi. Sebelum deserialisasi, validasi tanda tangan kriptografi. Lindungi kunci kriptografi agar tidak diungkapkan dan didesain untuk rotasi kunci.

Kapan harus menekan peringatan

LosFormatter tidak aman dan tidak dapat dibuat aman.

Contoh kode semu

Pelanggaran

using System.IO;
using System.Web.UI;

public class ExampleClass
{
    public object MyDeserialize(byte[] bytes)
    {
        LosFormatter formatter = new LosFormatter();
        return formatter.Deserialize(new MemoryStream(bytes));
    }
}

Imports System.IO
Imports System.Web.UI

Public Class ExampleClass
    Public Function MyDeserialize(bytes As Byte()) As Object
        Dim formatter As LosFormatter = New LosFormatter()
        Return formatter.Deserialize(New MemoryStream(bytes))
    End Function
End Class