シリアライザーのデシリアライズ処理において、任意の型のインスタンスを生成しプロパティをセットする機能が提供されていることが多いと思います。
そのような事が出来る場合、細工されたデータをデシリアライズした時に、セキュリティリスクが発生するBCLまたはASP.NETのクラスは有りますか?
シリアライザーはSystem.Runtime.Serialization.NetDataContractSerializer
のような、ペイロードに埋め込まれた型名を使用するシリアライザーを想定しています。
(実際には、Activator.CreateInstance
とPropertyInfo
を用いた簡易の自作デシリアライズ処理で行います)
セキュリティリスクは、メモリ上のデシリアライズしたインスタンス以外に対して変更がある(例えばプロパティに値を設定するとファイルが作成される等)ようなことを想定してます。
JavaのClassLoaderのようなクラスを想定していますが、.NETのAssemblyを始めとしたクラスでは引数付きのコンストラクターおよびメソッド呼び出しが必要なため、私は思い当たるものが有りませんでした。
もしそのようなクラスが有るのなら防いでおきたいので質問しています。
(攻撃に利用する意図は有りません。)