Deserializacion insegura

Serializar es convertir un objeto en texto para guardarlo o enviarlo; deserializar es el camino de vuelta, reconstruir el objeto desde ese texto. El problema aparece cuando el texto lo controla el usuario. En sesion.php de Depostock la cookie pref se pasa a unserialize, que rearma un objeto a partir de lo que venga en la cookie. Como el usuario decide el contenido de su cookie, decide que objeto se reconstruye y con que datos, y eso abre comportamientos que el programa nunca previo. El auditor lo reconoce por el par origen no confiable mas reconstruccion de objeto.

Lee el archivo y pregunta: de donde sale el texto que se reconstruye como objeto?

El fallo no esta en guardar preferencias en una cookie, sino en reconstruir un objeto a partir de un dato que el usuario puede cambiar a su gusto. Una cookie viaja en cada peticion y quien la envia puede reescribirla entera. Tratar ese texto como la fuente para armar un objeto es confiar en el usuario para algo que el programa deberia controlar. El auditor marca el origen —la cookie, controlada por el usuario— como la raiz del problema, no la funcion en si.

Es la misma leccion del modulo de inyeccion: lo que viene de fuera es dato, no instruccion ni objeto, hasta que se valida.

El arreglo es no deserializar datos del usuario con el mecanismo nativo. Para guardar preferencias basta un formato de datos simple como JSON, que produce valores —no objetos con comportamiento— y se interpreta sin reconstruir clases. Si ademas hace falta asegurar que la cookie no se manipulo, se firma con una clave del servidor y se rechaza si la firma no cuadra. El auditor clasifica el fallo como deserializacion insegura (CWE-502) y recomienda esas dos piezas: JSON para datos, firma para integridad.

Cifrar la cookie no arregla el fallo de fondo: el problema no es que se lea, es que se reconstruya como objeto.

La deserializacion insegura tiene su propia nota de triaje en Depostock, con el archivo, el origen del dato, la clasificacion CWE-502 y el arreglo. Abrela en el laboratorio, confirma que describe el unserialize de la cookie en sesion.php y lee el codigo del hallazgo con el que cierra.