CA2301:最初に BinaryFormatter.Binder を設定しないで BinaryFormatter.Deserialize を呼び出さないでください

[アーティクル]
02/01/2024

プロパティ	値
ルール ID	CA2301
Title	最初に BinaryFormatter.Binder を設定しないで BinaryFormatter.Deserialize を呼び出さないでください
[カテゴリ]	Security
修正が中断か中断なしであるか	なし
.NET 8 では既定で有効	いいえ

原因

System.Runtime.Serialization.Formatters.Binary.BinaryFormatter 逆シリアル化メソッドが、Binder プロパティを null 値に設定せずに呼び出されたか参照されました。

既定で、このルールではコードベース全体を分析しますが、これは構成可能です。

警告

SerializationBinder によって型を制限しても、すべての攻撃を防ぐことはできません。詳細については、「BinaryFormatter セキュリティガイド」を参照してください。

規則の説明

安全でない逆シリアライザーは、信頼されていないデータを逆シリアル化するときに脆弱です。攻撃者がシリアル化されたデータを変更して予期されない型を追加し、悪意のある副作用を持つオブジェクトを挿入する可能性があります。たとえば、安全でない逆シリアライザーに対する攻撃では、基になるオペレーティングシステムでコマンドが実行されたり、ネットワークを介して通信されたり、ファイルを削除されたりする可能性があります。

この規則では、BinaryFormatter で Binder が設定されていない場合に System.Runtime.Serialization.Formatters.Binary.BinaryFormatter 逆シリアル化メソッド呼び出しまたは参照を検索します。 Binder プロパティに関係なく BinaryFormatter による逆シリアル化を許可しない場合は、この規則と CA2302 を無効にし、規則 CA2300 を有効にします。

違反の修正方法

代わりに安全なシリアライザーを使用し、攻撃者が任意の型を指定して逆シリアル化することを許可しないでください。詳細については、推奨される代替手段を参照してください。
シリアル化されたデータを改ざん防止にします。シリアル化後に、シリアル化されたデータに暗号化署名します。逆シリアル化する前に、暗号化署名を検証します。暗号化キーの開示を防止し、キーのローテーションを設計します。
このオプションを使用すると、サービス拒否攻撃やリモートコード実行攻撃に対してコードが脆弱になります。詳細については、「BinaryFormatter セキュリティガイド」をご覧ください。逆シリアル化された型を制限します。カスタムの System.Runtime.Serialization.SerializationBinder を実装します。逆シリアル化する前に、すべてのコードパスで、Binder プロパティをカスタムの SerializationBinder インスタンスに設定します。オーバーライドした BindToType メソッドで、予期しない型の場合は例外をスローして、逆シリアル化を停止します。

どのようなときに警告を抑制するか

BinaryFormatter は安全ではなく、セキュリティで保護することはできません。

分析するコードを構成する

次のオプションを使用して、コードベースのどの部分に対してこのルールを実行するかを構成します。

特定のシンボルを除外する
特定の型とその派生型を除外する

これらのオプションを構成できる対象は、この規則だけ、それを適用するすべての規則、それを適用するこのカテゴリ (セキュリティ) のすべての規則のいずれかです。詳細については、「コード品質規則の構成オプション」を参照してください。

特定のシンボルを除外する

型やメソッドなど、特定のシンボルを分析から除外することができます。たとえば、MyType という名前の型のコードで規則を実行しないように指定するには、プロジェクトの .editorconfig ファイルに次のキーと値のペアを追加します。

dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType

オプションの値で使用できるシンボル名の形式 (| で区切ります):

シンボル名のみ (包含する型または名前空間に関係なく、その名前が指定されたすべてのシンボルが含まれます)。
そのシンボルのドキュメント ID 形式の完全修飾名。各シンボル名には、メソッドには M:、型には T:、名前空間には N: のように、シンボルの種類のプレフィックスが必要です。
コンストラクターには .ctor、静的コンストラクターには .cctor。

例 :

オプション値	まとめ
`dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType`	`MyType` という名前のすべてのシンボルを検索します。
`dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType1\|MyType2`	`MyType1` または `MyType2` という名前のすべてのシンボルを検索します。
`dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS.MyType.MyMethod(ParamType)`	指定された完全修飾シグネチャを持つ特定のメソッド `MyMethod` を検索します。
`dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS1.MyType1.MyMethod1(ParamType)\|M:NS2.MyType2.MyMethod2(ParamType)`	それぞれの完全修飾シグネチャを持つ特定のメソッド `MyMethod1` または `MyMethod2` を検索します。

特定の型とその派生型を除外する

分析から特定の型とその派生型を除外できます。たとえば、MyType という名前の型のメソッドとその派生型で規則を実行しないように指定するには、プロジェクトの .editorconfig ファイルに次のキーと値のペアを追加します。

dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType

オプションの値で使用できるシンボル名の形式 (| で区切ります):

型の名前のみ (包含する型または名前空間に関係なく、その名前が指定されたすべての型が含まれます)。
そのシンボルのドキュメント ID 形式の完全修飾名 (オプションで T: プレフィックスも使用可)。

例 :

オプション値	まとめ
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType`	`MyType` という名前のすべての型と、そのすべての派生型を検索します。
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType1\|MyType2`	`MyType1` または `MyType2` という名前のすべての型と、そのすべての派生型を検索します。
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = M:NS.MyType`	指定された完全修飾名を持つ特定の型 `MyType` と、そのすべての派生型を検索します。
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = M:NS1.MyType1\|M:NS2.MyType2`	それぞれの完全修飾名を持つ特定の型 `MyType1` または `MyType2` と、そのすべての派生型を検索します。

疑似コードの例

違反

using System;
using System.IO;
using System.Runtime.Serialization.Formatters.Binary;

[Serializable]
public class BookRecord
{
    public string Title { get; set; }
    public AisleLocation Location { get; set; }
}

[Serializable]
public class AisleLocation
{
    public char Aisle { get; set; }
    public byte Shelf { get; set; }
}

public class ExampleClass
{
    public BookRecord DeserializeBookRecord(byte[] bytes)
    {
        BinaryFormatter formatter = new BinaryFormatter();
        using (MemoryStream ms = new MemoryStream(bytes))
        {
            return (BookRecord) formatter.Deserialize(ms);
        }
    }
}

Imports System
Imports System.IO
Imports System.Runtime.Serialization.Formatters.Binary

<Serializable()>
Public Class BookRecord
    Public Property Title As String
    Public Property Location As AisleLocation
End Class

<Serializable()>
Public Class AisleLocation
    Public Property Aisle As Char
    Public Property Shelf As Byte
End Class

Public Class ExampleClass
    Public Function DeserializeBookRecord(bytes As Byte()) As BookRecord
        Dim formatter As BinaryFormatter = New BinaryFormatter()
        Using ms As MemoryStream = New MemoryStream(bytes)
            Return CType(formatter.Deserialize(ms), BookRecord)
        End Using
    End Function
End Class

解決策

using System;
using System.IO;
using System.Runtime.Serialization;
using System.Runtime.Serialization.Formatters.Binary;

public class BookRecordSerializationBinder : SerializationBinder
{
    public override Type BindToType(string assemblyName, string typeName)
    {
        // One way to discover expected types is through testing deserialization
        // of **valid** data and logging the types used.

        ////Console.WriteLine($"BindToType('{assemblyName}', '{typeName}')");

        if (typeName == "BookRecord")
        {
            return typeof(BookRecord);
        }
        else if (typeName == "AisleLocation")
        {
            return typeof(AisleLocation);
        }
        else
        {
            throw new ArgumentException("Unexpected type", nameof(typeName));
        }
    }
}

[Serializable]
public class BookRecord
{
    public string Title { get; set; }
    public AisleLocation Location { get; set; }
}

[Serializable]
public class AisleLocation
{
    public char Aisle { get; set; }
    public byte Shelf { get; set; }
}

public class ExampleClass
{
    public BookRecord DeserializeBookRecord(byte[] bytes)
    {
        BinaryFormatter formatter = new BinaryFormatter();
        formatter.Binder = new BookRecordSerializationBinder();
        using (MemoryStream ms = new MemoryStream(bytes))
        {
            return (BookRecord) formatter.Deserialize(ms);
        }
    }
}

Imports System
Imports System.IO
Imports System.Runtime.Serialization
Imports System.Runtime.Serialization.Formatters.Binary

Public Class BookRecordSerializationBinder
    Inherits SerializationBinder

    Public Overrides Function BindToType(assemblyName As String, typeName As String) As Type
        ' One way to discover expected types is through testing deserialization
        ' of **valid** data and logging the types used.

        'Console.WriteLine($"BindToType('{assemblyName}', '{typeName}')")

        If typeName = "BinaryFormatterVB.BookRecord" Then
            Return GetType(BookRecord)
        Else If typeName = "BinaryFormatterVB.AisleLocation" Then
            Return GetType(AisleLocation)
        Else
            Throw New ArgumentException("Unexpected type", NameOf(typeName))
        End If
    End Function
End Class

<Serializable()>
Public Class BookRecord
    Public Property Title As String
    Public Property Location As AisleLocation
End Class

<Serializable()>
Public Class AisleLocation
    Public Property Aisle As Char
    Public Property Shelf As Byte
End Class

Public Class ExampleClass
    Public Function DeserializeBookRecord(bytes As Byte()) As BookRecord
        Dim formatter As BinaryFormatter = New BinaryFormatter()
        formatter.Binder = New BookRecordSerializationBinder()
        Using ms As MemoryStream = New MemoryStream(bytes)
            Return CType(formatter.Deserialize(ms), BookRecord)
        End Using
    End Function
End Class

CA2300:安全ではないデシリアライザー BinaryFormatter を使用しないでください

CA2302:BinaryFormatter.Deserialize を呼び出す前に BinaryFormatter.Binder が設定されていることを確認します

次の方法で共有

CA2301:最初に BinaryFormatter.Binder を設定しないで BinaryFormatter.Deserialize を呼び出さないでください

原因

規則の説明

違反の修正方法

どのようなときに警告を抑制するか

分析するコードを構成する

特定のシンボルを除外する

特定の型とその派生型を除外する

疑似コードの例

違反

解決策

その他のリソース

次の方法で共有

CA2301:最初に BinaryFormatter.Binder を設定しないで BinaryFormatter.Deserialize を呼び出さないでください

原因

規則の説明

違反の修正方法

どのようなときに警告を抑制するか

分析するコードを構成する

特定のシンボルを除外する

特定の型とその派生型を除外する

疑似コードの例

違反

解決策

関連規則

その他のリソース