CA2355: небезопасный набор данных или DataTable в графе десериализированных объектов
| Свойство | Значение |
|---|---|
| Идентификатор правила | CA2355 |
| Заголовок | Ненадежные данные DataSet или DataTable в графе десериализованных объектов |
| Категория | Безопасность |
| Исправление является критическим или не критическим | Не критическое |
| Включен по умолчанию в .NET 9 | No |
Причина
Десериализация, когда граф объектов приведенного или указанного типа может включать DataSet или DataTable.
Это правило использует другой подход для аналогичного правила CA2353: ненадежные данные DataSet и DataTable в сериализуемом типе.
Приведенный или указанный тип определяется в следующих случаях:
- Инициализация объекта DataContractSerializer
- Инициализация объекта DataContractJsonSerializer
- Инициализация объекта XmlSerializer
- Вызов метода JavaScriptSerializer.Deserialize
- Вызов метода JavaScriptSerializer.DeserializeObject
- Вызов метода XmlSerializer.FromTypes
- Вызов метода JsonSerializer.Deserialize Newtonsoft Json.NET
- Вызов метода JsonConvert.DeserializeObject Newtonsoft Json.NET
Описание правила
В случае десериализации ненадежных входных данных с помощью класса BinaryFormatter и если граф десериализованных объектов содержит DataSet или DataTable, злоумышленник может создавать вредоносные данные для проведения атаки типа "отказ в обслуживании". Могут существовать неизвестные уязвимости удаленного выполнения кода.
Дополнительные сведения см. в статье Руководство по безопасности для DataSet и DataTable.
Устранение нарушений
- По возможности используйте Entity Framework, а не DataSet и DataTable.
- Примените к сериализованным данным защиту от несанкционированных изменений. После сериализации криптографически подпишите сериализованные данные. Перед десериализацией проверьте криптографическую подпись. Защитите криптографический ключ от раскрытия и реализуйте регулярную смену ключей.
Когда лучше отключить предупреждения
Можно отключить вывод предупреждений для этого правила в следующих случаях:
- Вам известно, что входные данные являются доверенными. Учитывайте, что со временем могут измениться как границы доверия, так и потоки данных приложения.
- Вы выполнили одну из мер предосторожности из раздела Устранение нарушений.
Отключение предупреждений
Если вы просто хотите отключить одно нарушение, добавьте директивы препроцессора в исходный файл, чтобы отключить и повторно включить правило.
#pragma warning disable CA2355
// The code that's violating the rule is on this line.
#pragma warning restore CA2355
Чтобы отключить правило для файла, папки или проекта, задайте его серьезность none в файле конфигурации.
[*.{cs,vb}]
dotnet_diagnostic.CA2355.severity = none
Дополнительные сведения см. в разделе Практическое руководство. Скрытие предупреждений анализа кода.
Примеры псевдокода
Нарушение
using System.Data;
using System.IO;
using System.Runtime.Serialization;
[Serializable]
public class MyClass
{
public MyOtherClass OtherClass { get; set; }
}
[Serializable]
public class MyOtherClass
{
private DataSet myDataSet;
}
public class ExampleClass
{
public MyClass Deserialize(Stream stream)
{
BinaryFormatter bf = new BinaryFormatter();
return (MyClass) bf.Deserialize(stream);
}
}
Связанные правила
CA2350: убедитесь, что входные данные DataTable.ReadXml()являются доверенными
CA2351: убедитесь, что входные данные DataSet.ReadXml()являются доверенными
CA2353: небезопасный набор данных или DataTable в сериализуемом типе
CA2356: ненадежные данные DataSet или DataTable в графе десериализованных веб-объектов
