Insecure Deserialization (Désérialisation non sécurisée)

Définition

La désérialisation non sécurisée est une vulnérabilité critique survenant lorsqu'une application reconstruit des objets à partir de données sérialisées sans validation suffisante, permettant à un attaquant de manipuler ces données pour provoquer des comportements non désirés. Les formats concernés incluent Java Serialization, PHP serialize(), Python pickle, Ruby Marshal et les formats binaires comme AMF. En Java, des bibliothèques populaires comme Apache Commons Collections ont été exploitées via des gadget chains — séquences de méthodes légitimes enchaînées pour obtenir l'exécution de code arbitraire (RCE) lors de la désérialisation. Des outils comme ysoserial et GadgetProbe facilitent l'identification et l'exploitation de ces chaînes. Classée A8 dans OWASP Top 10, cette vulnérabilité touche de nombreux frameworks enterprise. La défense exige d'éviter la désérialisation de données non fiables, d'utiliser des formats plus sûrs comme JSON avec schéma de validation, d'implémenter une liste blanche de classes désérialisables, et de surveiller les exceptions lors de la désérialisation.