CA2362：自动生成的可序列化类型中不安全的数据集或数据表易受远程代码执行攻击

值

规则 ID

CA2362

类别

安全性

修复是中断修复还是非中断修复

非中断

原因

使用 SerializableAttribute 标记的类或结构包含 DataSet 或 DataTable 字段或属性，但不具有 DesignerCategoryAttribute。

CA2352 是一个类似的规则，适用于没有 DesignerCategoryAttribute 的情况。

规则说明

当反序列化具有 BinaryFormatter 的不受信任输入且反序列化的对象图包含 DataSet 或 DataTable 时，攻击者可能创建执行远程代码执行攻击的恶意有效负载。

此规则类似于 CA2352，但适用于 GUI 应用程序内数据的内存中表示形式的自动生成的代码。通常，这些自动生成的类不会从不受信任的输入中进行反序列化。应用程序的使用可能会有差异。

此规则查找反序列化时不安全的类型。如果代码没有反序列化找到的类型，则没有反序列化漏洞。

有关详细信息，请参阅 DataSet 和 DataTable 安全指南。

如何解决冲突

如果可能，请使用实体框架，而不是 DataSet 和 DataTable。

使序列化的数据免被篡改。序列化后，对序列化的数据进行加密签名。在反序列化之前，验证加密签名。保护加密密钥不被泄露，并设计密钥轮换。

何时禁止显示警告

在以下情况下，禁止显示此规则的警告是安全的：

此规则找到的类型永远不会被直接或间接反序列化。

已知输入为受信任输入。考虑应用程序的信任边界和数据流可能会随时间发生变化。

你采取了如何修复冲突的某项预防措施。

伪代码示例

冲突

using System.Data;

using System.Xml.Serialization;

namespace ExampleNamespace

{

[global::System.CodeDom.Compiler.GeneratedCode(""System.Data.Design.TypedDataSetGenerator"", ""2.0.0.0"")]

[global::System.Serializable()]

[global::System.ComponentModel.DesignerCategoryAttribute(""code"")]

[global::System.ComponentModel.ToolboxItem(true)]

[global::System.Xml.Serialization.XmlSchemaProviderAttribute(""GetTypedDataSetSchema"")]

[global::System.Xml.Serialization.XmlRootAttribute(""Package"")]

[global::System.ComponentModel.Design.HelpKeywordAttribute(""vs.data.DataSet"")]

public class ExampleClass : global::System.Data.DataSet {

private DataTable table;

}