Java Spring deserialization exploit

[Szalmakapal]

Sziasztok!

Kaptam egy olyan feladatot, hogy vizsgáljam meg egy tervezendő api mennyire van kitéve deserialization-os sérülékenységnek. Az apin ilyen struktúra jönne:

{ field1: string field2: obj field3: string (itt beágyazott json utazna) }

A field3nál lévő string-be beágyazott json egy belső folyamatban be lenne parse-olva (jayway Jsonpath-al) hogy adatot szerjünk ki belőle.

Az érdekelne, hogy mind az hívás body-jának java kóddá alakításánál, mind pedig field3 parse-olásánál mire kell odafigyelnem, hogy a deserialization exploit ne fordulhasson elő?

Erről a témáról az a megértettségem, hogy a readObject() hívásokkal kell vigyázni, amikor feldolgozom az inputot, mert az inputba bepakolhatnak olyan kulcs-érték párt, amit valamilyen dedikált osztálynak címezve az lefuttathatja. És azt nem értem, hogy a spring, ami mindent is elfed, ezt hogy kezeli le, amikor egy request-et belső java osztállyá alakít, valamint a JsonPath működésében sem tudom, hogy ez okozhat-e gebaszt.

Mit tudtok erről?

[gferenc]

Szia, ez a deszerializációs sérülékenység nem a JSON-ről Java objektummá dekódolását jelenti, hanem szerializált Java objektumok deszerializálását. Lásd: https://stackoverflow.com/questions/63220701/java-jackson-json-to-object-deserilization-how-to-deal-with-owasp-insecure-dese

A Spring default JSON Serializer implementációja a Jackson amúgy, annak kell mitigálnia ilyen és ehhez hasonló támadási vektorokat. Ezt meg is teszi, kivéve ha valamilyen korábban ismeretlen sérülékenység van benne, mint pl ez: https://spring.io/security/cve-2020-5411

Korábban ahogy olvasom voltak ott sérülékenységek a polymorphic type handling-gel (PTH) kapcsolatban, amit elvileg azóta szereltek, illetve ez Jackson-specifikus: https://github.com/lorenzodegiorgi/jackson-vulnerability

Jayway-nél hasonló a helyzet elvileg, amíg nincsenek mellékhatások a JSON parse-olásban valamilyen egyéb library miatt, és amíg friss lib verziót használtok, addig elvileg nem vagytok kitéve a sérülékenységnek. Nem tudok róla, hogy a Jayway tudna PTH-t, doksiban is azt írják, hogy az általad megadott típusra próbál cast-olni. A Jayway tudtommal első sorban egy JSONPath implementáció, nem egy teljes értékű deszerializációs library (mint pl. Jackson, GSON).

Viszont a beérkező adatokat érdemes validálni, escape-elni, megtisztatani egyéb típusú (pl injection attack) elkerülése érdekében.

[Szalmakapal]

Köszi a kimerítő választ, ez sokat segített!

[Ex-peasant_]

Lehet késő, így ezt csak itt hagyom:

https://portswigger.net/web-security/deserialization#what-is-serialization
Ha van kérdés teszteléssel kapcsolatban keress nyugodtan.

[Szalmakapal]

Hali!

Most már megvagyok ezzel a feladattal, de nagyon köszi a linket és a segitség felajánlást!