CA2362：自动生成的可序列化类型中不安全的数据集或数据表易受远程代码执行攻击
| 属性 | 值 |
|---|---|
| 规则 ID | CA2362 |
| 标题 | 自动生成的可序列化类型中不安全的数据集或数据表易受远程代码执行攻击 |
| 类别 | 安全性 |
| 修复是中断修复还是非中断修复 | 非中断 |
| 在 .NET 8 中默认启用 | 否 |
原因
使用 SerializableAttribute 标记的类或结构包含 DataSet 或 DataTable 字段或属性，但不具有 DesignerCategoryAttribute。
CA2352 是一个类似的规则，适用于没有 DesignerCategoryAttribute 的情况。
规则说明
当反序列化具有 BinaryFormatter 的不受信任输入且反序列化的对象图包含 DataSet 或 DataTable 时，攻击者可能创建执行远程代码执行攻击的恶意有效负载。
此规则类似于 CA2352，但适用于 GUI 应用程序内数据的内存中表示形式的自动生成的代码。 通常，这些自动生成的类不会从不受信任的输入中进行反序列化。 应用程序的使用可能会有差异。
此规则查找反序列化时不安全的类型。 如果代码没有反序列化找到的类型，则没有反序列化漏洞。
有关详细信息，请参阅 DataSet 和 DataTable 安全指南。
如何解决冲突
- 如果可能，请使用实体框架，而不是 DataSet 和 DataTable。
- 使序列化的数据免被篡改。 序列化后，对序列化的数据进行加密签名。 在反序列化之前，验证加密签名。 保护加密密钥不被泄露，并针对密钥轮换进行设计。
何时禁止显示警告
在以下情况下，禁止显示此规则的警告是安全的：
- 此规则找到的类型永远不会被直接或间接反序列化。
- 已知输入为受信任输入。 考虑应用程序的信任边界和数据流可能会随时间发生变化。
- 你采取了如何修复冲突的某项预防措施。
抑制警告
如果只想抑制单个冲突，请将预处理器指令添加到源文件以禁用该规则，然后重新启用该规则。
#pragma warning disable CA2362
// The code that's violating the rule is on this line.
#pragma warning restore CA2362
若要对文件、文件夹或项目禁用该规则，请在配置文件中将其严重性设置为 none。
[*.{cs,vb}]
dotnet_diagnostic.CA2362.severity = none
有关详细信息，请参阅如何禁止显示代码分析警告。
伪代码示例
冲突
using System.Data;
using System.Xml.Serialization;
namespace ExampleNamespace
{
[global::System.CodeDom.Compiler.GeneratedCode(""System.Data.Design.TypedDataSetGenerator"", ""2.0.0.0"")]
[global::System.Serializable()]
[global::System.ComponentModel.DesignerCategoryAttribute(""code"")]
[global::System.ComponentModel.ToolboxItem(true)]
[global::System.Xml.Serialization.XmlSchemaProviderAttribute(""GetTypedDataSetSchema"")]
[global::System.Xml.Serialization.XmlRootAttribute(""Package"")]
[global::System.ComponentModel.Design.HelpKeywordAttribute(""vs.data.DataSet"")]
public class ExampleClass : global::System.Data.DataSet {
private DataTable table;
}
}
相关规则
CA2350:确保 DataTable.ReadXml() 的输入受信任
CA2351:确保 DataSet.ReadXml() 的输入受信任
CA2352:可序列化类型中的不安全 DataSet 或 DataTable 容易受到远程代码执行攻击
CA2353:可序列化类型中的不安全 DataSet 或 DataTable
CA2354:反序列化对象图中的不安全 DataSet 或 DataTable 可能容易受到远程代码执行攻击
CA2355:反序列化对象图中的不安全 DataSet 或 DataTable
