Deserialisierung nicht vertrauenswürdiger Daten: pickle und Java-Serialisierung

Worum es geht

Ein Pickle-Datenstrom ist ein kleines Programm für eine Stack-Maschine; seine Opcodes können jedes beliebige Modul importieren und jedes aufrufbare Objekt mit Argumenten aufrufen – so rekonstruiert pickle.loads Objekte. Die (zitierte) Python-Dokumentation warnt, dass das Modul nicht sicher ist, dass bösartige Pickle-Daten beim Entpacken beliebigen Code ausführen können und dass Daten aus einer nicht vertrauenswürdigen Quelle niemals entpickelt werden dürfen. Ihr Abschnitt „Restricting Globals“ zeigt die Abhilfe für die verbleibenden Fälle: Unpickler unterklassen, find_class überschreiben und nur eine explizite Liste von Modul-Name-Paaren zulassen. Javas ObjectInputStream hat dieselbe Form: Der Datenstrom benennt Klassen, die Laufzeitumgebung instanziiert sie und führt deren Logik in readObject, readResolve und readExternal aus, und Ketten gewöhnlicher Bibliotheksklassen („Gadget Chains“) machen daraus Codeausführung. Die (zitierte) Oracle-Dokumentation beschreibt Serialisierungsfilterung als Gegenmechanismus: ein jdk.serialFilter-Muster, gesetzt für eine einzelne Anwendung als System-Property oder JVM-weit als Sicherheits-Property, das Klassennamen erlaubt oder ablehnt und Array-Grösse, Graphtiefe, Referenzen und Stream-Bytes begrenzt; eigene Filter implementieren die ObjectInputFilter-API.

Warum es wichtig ist

Die Formate sind praktisch für Caches, Job-Queues, Session-Speicher und RPC, sodass sie am Ende Daten einlesen, die eine Vertrauensgrenze überschritten haben: ein Cookie, eine Queue, in die ein anderer Mandant schreiben kann, ein Datei-Upload. Der Angreifer braucht keinen Fehler im eigenen Code, sondern nur den Deserialisierer und die Klassen auf dem Classpath oder Importpfad.

So wird es angewendet

• Für alles, was eine Grenze überschreitet, reine Datenformate (JSON, Protocol Buffers, MessagePack) mit Schema-Validierung bevorzugen; pickle und Java-Serialisierung Daten vorbehalten, die vom selben vertrauenswürdigen Prozess erzeugt und konsumiert werden.
• Muss ein Pickle akzeptiert werden, es wie von der pickle-Dokumentation vorgeschlagen mit HMAC unter einem serverseitigen Schlüssel signieren und vor dem Laden verifizieren – und trotzdem die Globals einschränken.
• In Java jdk.serialFilter mit einer Positivliste und Ressourcenlimits (maxdepth, maxarray, maxrefs, maxbytes) setzen oder resolveClass überschreiben, wie das (zitierte) OWASP Cheat Sheet zeigt, und Domänenklassen, die Serializable sein müssen, ein readObject geben, das eine Exception wirft.
• Im Code-Review nach pickle.load, ObjectInputStream, readObject, XMLDecoder und XStream.fromXML grepen; das Cheat Sheet listet die Java-Einstiegspunkte.
• Auf der Leitung beginnen Java-Datenströme mit den Bytes AC ED 00 05 (rO0 in Base64); sie im Datenverkehr oder Speicher zu erkennen, ist ein schneller Check.

Stolpersteine

Eine Negativliste bekannter Gadget-Klassen; neue Ketten tauchen laufend auf. Die Annahme, das „Safe Mode“-Flag eines Frameworks sei in der Produktion gesetzt. Modelldateien für maschinelles Lernen aus dem Internet laden, ohne zu prüfen, ob das Format ein Pickle-Datenstrom ist.