CA2300: Não usar o desserializador BinaryFormatter não seguro

Causa

Um método de desserialização System.Runtime.Serialization.Formatters.Binary.BinaryFormatter foi chamado ou referenciado.

Descrição da regra

Desserializadores não seguros são vulneráveis ao desserializar dados não confiáveis. Um invasor pode modificar os dados serializados visando incluir tipos inesperados para injetar objetos com efeitos colaterais mal-intencionados. Um ataque contra um desserializador não seguro poderia, por exemplo, executar comandos no sistema operacional subjacente, realizar comunicações pela rede ou excluir arquivos.

Essa regra localiza referências ou chamadas de método de desserialização System.Runtime.Serialization.Formatters.Binary.BinaryFormatter. Para realizar a desserialização somente quando a propriedade Binder estiver definida para restringir tipos, desabilite essa regra e habilite as regras CA2301 e CA2302. Limitar quais tipos podem ser desserializados ajuda na atenuação de ataques de execução de código remoto conhecidos, mas a desserialização ainda estará vulnerável a ataques de negação de serviço.

BinaryFormatter não é seguro e não pode ser transformado em seguro. Para saber mais, confira o Guia de segurança do BinaryFormatter.

Como corrigir violações

• Use um serializador seguro como alternativa e não permita que um invasor especifique um tipo arbitrário a ser desserializado. Para saber mais, confira as Alternativas preferenciais.
• Torne os dados serializados à prova de adulteração. Após a serialização, assine criptograficamente os dados serializados. Antes da desserialização, valide a assinatura criptográfica. Proteja a chave criptográfica para impedir que ela seja divulgada e faça o design tendo em mente as rotações de chave.
• Essa opção torna o código vulnerável a ataques de negação de serviço e possíveis ataques de execução de código remoto no futuro. Para saber mais, confira o Guia de segurança do BinaryFormatter. Restrinja tipos desserializados. Implementar um System.Runtime.Serialization.SerializationBinder personalizado. Antes de desserializar, defina a propriedade Binder como uma instância do SerializationBinder personalizado em todos os caminhos de código. No método substituído BindToType, se o tipo for inesperado, gere uma exceção para interromper a desserialização.

Quando suprimir avisos

BinaryFormatter não é seguro e não pode ser transformado em seguro.

Exemplos de pseudocódigo

Violação

using System.IO;
using System.Runtime.Serialization.Formatters.Binary;

public class ExampleClass
{
    public object MyDeserialize(byte[] bytes)
    {
        BinaryFormatter formatter = new BinaryFormatter();
        return formatter.Deserialize(new MemoryStream(bytes));
    }
}

Imports System.IO
Imports System.Runtime.Serialization.Formatters.Binary

Public Class ExampleClass
    Public Function MyDeserialize(bytes As Byte()) As Object
        Dim formatter As BinaryFormatter = New BinaryFormatter()
        Return formatter.Deserialize(New MemoryStream(bytes))
    End Function
End Class

Regras relacionadas

CA2301: Não chamar BinaryFormatter.Deserialize sem antes definir BinaryFormatter.Binder

CA2302: Verificar se o BinaryFormatter.Binder está definido antes de chamar BinaryFormatter.Deserialize