CA2354: DataSet atau DataTable yang Tidak Aman dalam grafik objek yang dideserialisasi dapat rentan terhadap serangan eksekusi kode jarak jauh

Properti Nilai
ID Aturan CA2354
Judul Himpunan Data tidak aman atau DataTable dalam grafik objek yang dideserialisasi dapat rentan terhadap serangan eksekusi kode jarak jauh
Kategori Keamanan
Perbaikan bersifat merusak atau tidak merusak Tidak terputus
Diaktifkan secara default di .NET 10 Tidak
Bahasa yang berlaku C# dan Visual Basic

Penyebab

Mendeserialisasi dengan System.Runtime.Serialization.IFormatter yang telah diserialisasikan, dan grafik objek dari tipe yang dicasting dapat termasuk DataSet atau DataTable.

Aturan ini menggunakan pendekatan yang berbeda untuk aturan serupa, CA2352: Himpunan Data Tidak Aman atau DataTable dalam jenis yang dapat diserialisasikan dapat rentan terhadap serangan eksekusi kode jarak jauh.

Deskripsi aturan

Saat mendeserialisasi input yang tidak tepercaya dengan BinaryFormatter dan grafik objek yang dideserialisasi berisi DataSet atau DataTable, penyerang dapat membuat payload berbahaya untuk melakukan serangan eksekusi kode jarak jauh.

Untuk informasi selengkapnya, lihat Panduan keamanan Himpunan Data dan DataTable.

Cara memperbaiki pelanggaran

  • Jika memungkinkan, gunakan Entity Framework daripada DataSet dan DataTable.
  • Buat data yang diserialisasi agar tahan rusak. Setelah serialisasi, tanda tangani secara kriptografi data yang diserialisasi. Sebelum deserialisasi, validasi tanda tangan kriptografi. Lindungi kunci kriptografi agar tidak diungkapkan dan didesain untuk rotasi kunci.

Kapan harus menekan peringatan

Aman untuk menyembunyikan peringatan dari aturan ini jika:

  • Anda mengetahui bahwa input-nya tepercaya. Pertimbangkan bahwa batas kepercayaan dan aliran data aplikasi Anda dapat berubah dari waktu ke waktu.
  • Anda telah mengambil salah satu tindakan pencegahan dalam Cara memperbaiki pelanggaran.

Menyembunyikan peringatan

Jika Anda hanya ingin menyembunyikan satu pelanggaran, tambahkan arahan praprosedur ke file sumber Anda untuk dinonaktifkan lalu aktifkan kembali aturannya.

#pragma warning disable CA2354
// The code that's violating the rule is on this line.
#pragma warning restore CA2354

Untuk menonaktifkan aturan untuk file, folder, atau proyek, atur tingkat keparahannya ke none dalam file konfigurasi.

[*.{cs,vb}]
dotnet_diagnostic.CA2354.severity = none

Untuk informasi selengkapnya, lihat Cara menyembunyikan peringatan analisis kode.

Contoh kode semu

Pelanggaran

using System.Data;
using System.IO;
using System.Runtime.Serialization;

[Serializable]
public class MyClass
{
    public MyOtherClass OtherClass { get; set; }
}

[Serializable]
public class MyOtherClass
{
    private DataSet myDataSet;
}

public class ExampleClass
{
    public MyClass Deserialize(Stream stream)
    {
        BinaryFormatter bf = new BinaryFormatter();
        return (MyClass) bf.Deserialize(stream);
    }
}

CA2350: Pastikan input DataTable.ReadXml() tepercaya

CA2351: Pastikan input DataSet.ReadXml() tepercaya

CA2352: DataSet atau DataTable yang tidak aman dalam jenis yang dapat diserialisasikan dapat rentan terhadap serangan eksekusi kode jarak jauh

CA2353: DataSet atau DataTable yang Tidak Aman dalam jenis yang dapat diserialisasikan

CA2355: DataSet atau DataTable tidak aman dalam diagram objek yang telah dideserialisasi

CA2356: DataSet atau DataTable Tidak Aman dalam grafik objek yang dideserialisasi web

CA2361: Memastikan kelas yang dihasilkan secara otomatis yang berisi DataSet.ReadXml() tidak digunakan dengan data yang tidak tepercaya

CA2362: DataSet atau DataTable yang tidak aman dalam tipe yang bersifat serial yang dihasilkan secara otomatis dapat rentan terhadap serangan eksekusi kode jarak jauh

  • Last updated on