Deserialization Attack

Définition

Les attaques de désérialisation exploitent le processus de conversion d'un objet sérialisé (stream de bytes) en objet en mémoire pour exécuter du code arbitraire ou manipuler la logique applicative. Quand une application désérialise des données provenant de sources non fiables (cookies, paramètres de requête, données de fichiers) sans validation, un attaquant peut fournir un stream de bytes malicieux qui déclenche des actions inattendues lors de la désérialisation. Le mécanisme exploite les 'gadget chains' : des séquences de méthodes magiques (constructeurs, destructeurs, méthodes toString, equals, etc.) disponibles dans les classes présentes dans le classpath de l'application qui, quand chaînées via le processus de désérialisation d'un objet malveillant, aboutissent à l'exécution de commandes OS. Des formats de sérialisation vulnérables incluent : la sérialisation Java native (streams binaires commençant par 0xaced0005), PHP serialize/unserialize, Python pickle, Ruby Marshal, et .NET BinaryFormatter. Chaque format a ses propres vulnérabilités et gadget chains. Des exploits célèbres incluent : Apache Commons Collections gadget chain (Java, permettant RCE sur de nombreux serveurs Java EE), PHP unserialize sur WordPress (CVE-2019-8942, RCE), Python pickle dans des APIs ML qui chargent des modèles via pickle.load(), et des RCE sur WebLogic, JBoss, Jenkins via la désérialisation Java. Des outils comme ysoserial (Java gadget chains generator), phpggc (PHP gadget chains), et notsoserial (Java deserialization filter testing) facilitent la génération de payloads et les tests.