Deserialización insegura vista en el código

Un formato de solo datos entrega al programa una estructura simple —textos, números, listas— y el programa decide qué hacer con ella. Un formato que reconstruye objetos del lenguaje hace algo distinto: al leer, crea instancias de tipos y les devuelve su estado, y en varios lenguajes eso ejecuta código de inicialización del propio tipo. Lo hace antes de que el programa mire nada.

Esa es la causa: la decisión sobre qué se construye la toma el contenido del dato, no el programa. Por eso la debilidad de MITRE, CWE-502, no habla de un formato concreto sino de deserializar datos en los que no se confía.

El inventario marca, por cada punto donde la plataforma convierte bytes en estructuras, si el formato se limita a transportar datos o si además reconstruye objetos. Empieza por ahí: los puntos de solo datos se descartan en esta sala y los otros se revisan uno por uno.

Reconstruir objetos no es por sí solo un hallazgo: muchas plataformas lo hacen entre sus propios servicios y está bien. Lo que convierte un punto en hallazgo es la combinación de tres cosas: el formato reconstruye objetos, el dato llega por un camino que alguien de fuera controla, y no hay nada que se compruebe antes de leerlo.

Busca el único punto del inventario donde se cumplen las tres.

Los otros dos puntos que reconstruyen objetos no se escriben igual. Uno acepta cualquier tipo pero exige que el archivo venga firmado por operaciones, así que quien no tenga la firma no llega a la lectura. El otro acepta solo tres tipos propios declarados en su configuración, y cualquier otro se rechaza antes de construir nada.

Los dos controles son válidos y protegen por razones distintas: uno comprueba quién manda el dato, el otro limita qué se puede construir con él.

La corrección de fondo es cambiar el formato: si lo que viaja son preferencias, un formato de solo datos con una conversión explícita a los campos que el programa espera resuelve el problema entero y no se puede volver a encender por descuido.

Cuando el formato no se puede cambiar a corto plazo, las dos medidas que valen son una lista cerrada de tipos admitidos y una firma que se comprueba antes de leer. Y una que no vale: intentar reconocer contenidos peligrosos dentro del dato antes de deserializarlo, porque para saber qué trae hay que leerlo, que es justo lo que se quería evitar.