Insecure Deserialization

Définition

L'insecure deserialization est une vulnérabilité catégorisée dans l'OWASP Top 10 qui englobe tous les cas où une application désérialise des données sans validation suffisante, permettant à un attaquant de manipuler des objets sérialisés pour modifier la logique applicative, escalader des privilèges, ou exécuter du code arbitraire. Elle est distincte mais reliée aux attaques de désérialisation avec gadget chains. Au-delà des RCE via gadget chains (voir Deserialization Attack), l'insecure deserialization couvre : la manipulation de cookies et tokens de session sérialisés (modifier le rôle, l'ID utilisateur, ou l'expiration dans un cookie PHP sérialisé), les injections via des objets Java/PHP désérialisés qui modifient l'état de l'application, et les attaques de type substitution d'objet (remplacer un objet d'un type par un objet d'un type compatible mais avec des propriétés différentes). Un exemple courant en PHP : une application stocke dans un cookie l'objet utilisateur sérialisé O:4:'User':2:{s:4:'name';s:5:'Alice';s:4:'role';s:4:'user';}. L'attaquant modifie ce cookie (sans signature/MAC) vers O:4:'User':2:{s:4:'name';s:5:'Alice';s:4:'role';s:5:'admin';} — si l'application désérialise et fait confiance à ce cookie, l'attaquant est maintenant admin. Des sessions Rails basées sur des cookies marshalisés (avant Rails 5.2 avec encryption obligatoire), des tokens JWT sans validation d'algorithme, et des paramètres de cache Ruby Marshal ont été exploités de cette manière.