安全でないデシリアライゼーション

ここでは安全でないデシリアライゼーションについて解説しています。そもそもデシリアライゼーションとは何なのか、想定される攻撃や企業が受ける被害についてまとめました。

安全でないデシリアライゼーションとは

アプリケーションでは、プロセス間通信や一時的なプログラム実行の中断などを効率よく処理するために、実行中のオブジェクトを一つのバイト列にして（シリアライズ）、データの授受や保存などを行います。

このシリアライズされたデータを読み込み、元のオブジェクトに変換する処理をデシリアライズと呼びます。そして外部から与えられるデータをデシリアライズする際に発生する脆弱性のことを安全でないデシリアライゼーションと言います。

安全でないデシリアライゼーションで攻撃を受けるとどうなる？

デシリアライズの際に発生するリスクはオブジェクトの持つフィールドに任意の値が設定可能になる問題と、アプリケーションに存在する脆弱性のあるクラスを利用することで、リモートコードが実行されてしまいます。具体的な被害としては管理者権限を取得されたり、攻撃者が仕込んだプログラムが実行されることが考えられます。

脆弱性診断（セキュリティ診断）とは？
目的や必要性について詳しく見る

安全でないデシリアライゼーションの代表的な被害事例

安全でないデシリアライゼーションに関する被害についての報道や報告などは見つかりませんでした。他のサイバー攻撃と比べるとあまり知られていませんが、デシリアライズの脆弱性については発見されることが多くなりました。

2021/05/27　Checkbox Survey に安全でないデシリアライゼーションの脆弱性

Checkbox社が提供するCheckbox Surveyにおける調査機能を追加できるASP.NET アプリケーションに安全でないデシリアライゼーションの脆弱性（CWE-502、CVE-2021-27852）が存在し、遠隔の第三者によってサーバ上で任意のコードを実行される可能性があることをJVNに公開されました。

2019/04/02　「Apache Solr」の安全でないデシリアライゼーションの脆弱性「CVE-2019-0192」を検証

トレンドマイクロ社ではセキュリティリサーチャのMichael Stepankin氏によって、全文検索プラットフォーム「Apache Solr」の脆弱性「CVE-2019-0192」が報告されたことを明らかにしました。攻撃者がリアライズした不正なオブジェクトを送信することで、脆弱なApache Solr上で任意のコードを実行できることを検証しました。

安全でないデシリアライゼーションによる被害が出る原因

安全でないデシリアライゼーションの具体的な被害についてはまだ情報がありませんが、複数のセキュリティ機関によって一部のアプリケーションで脆弱性があることが発見され、注意喚起したりアプリの最新版へのアップグレードを呼びかけています。

こうした情報に耳を傾けず、放置してしまうことがサイバー攻撃の被害を発生させる要因となります。脆弱性が疑われるアプリケーションを利用している場合は、セキュリティ対策を進めておくことが大切です。