Десериализация недоверенных данных: pickle и сериализация Java

Что это такое

Поток pickle — небольшая программа для стековой машины; его коды операций могут импортировать любой модуль и вызывать любой вызываемый объект с аргументами: именно так pickle.loads восстанавливает объекты. В документации Python (см. источник) сказано, что модуль небезопасен, вредоносные данные pickle могут выполнить произвольный код при десериализации, а данные из недоверенного источника нельзя десериализовать через pickle ни при каких обстоятельствах. Раздел «Restricting Globals» показывает меру защиты для оставшихся случаев: создать подкласс Unpickler, переопределить find_class и разрешить только явный список пар «модуль — имя». У Java ObjectInputStream устроен сходным образом: поток называет классы, среда выполнения создаёт их экземпляры и выполняет логику readObject, readResolve и readExternal, а цепочки обычных библиотечных классов («gadget chains») превращают это в выполнение команд. Документация Oracle (см. источник) описывает противодействие с помощью фильтрации сериализации: шаблон jdk.serialFilter, заданный системным свойством для одного приложения или свойством безопасности для всей JVM, разрешает или отклоняет имена классов и ограничивает размер массивов, глубину графа, число ссылок и объём потока в байтах; пользовательские фильтры реализуют API ObjectInputFilter.

Почему это важно

Эти форматы удобны для кешей, очередей заданий, хранилищ сеансов и RPC, поэтому в итоге они читают данные, пересёкшие границу доверия: cookie, очередь, в которую может писать другой арендатор, загруженный файл. Злоумышленнику не нужна ошибка в вашем коде: достаточно десериализатора и классов в вашем classpath или пути импорта.

Как применять

• Для любых данных, пересекающих границу доверия, предпочитайте форматы только для данных (JSON, Protocol Buffers, MessagePack) с проверкой по схеме; оставьте pickle и сериализацию Java для данных, создаваемых и потребляемых одним и тем же доверенным процессом.
• Если принимать pickle необходимо, подпишите его с помощью HMAC и ключа на стороне сервера и проверьте подпись до загрузки, как предлагает документация pickle; при этом всё равно ограничьте глобальные объекты.
• В Java задайте jdk.serialFilter со списком разрешённых классов и ограничениями ресурсов (maxdepth, maxarray, maxrefs, maxbytes) либо переопределите resolveClass, как показано в памятке OWASP (см. источник); доменным классам, которые должны быть Serializable, задайте readObject, выбрасывающий исключение.
• При проверке кода ищите через grep pickle.load, ObjectInputStream, readObject, XMLDecoder и XStream.fromXML; в памятке перечислены точки входа Java.
• В передаваемых данных потоки Java начинаются с байтов AC ED 00 05 (rO0 в Base64); их обнаружение в трафике или хранилище даёт возможность быстрой проверки.

Типичные ошибки

Список запрещённых известных классов-гаджетов: новые цепочки появляются регулярно. Предположение, что флаг «безопасного режима» фреймворка установлен в рабочей среде. Загрузка файлов моделей машинного обучения из интернета без проверки, не является ли их формат потоком pickle.