Ist die automatische JSON-Deserialisierung mit „TypeNameHandling.Auto' von Json.Net sicher, auch wenn die Deserialisierung auf einen bestimmten Typ beschränkt ist?

Kann externes JSON aufgrund von Json.Net TypeNameHandling Auto anfällig sein?

Problem:

Bei Website-Anwendungen, bei denen Benutzer benutzerdefinierte JSON-Objekte hochladen, ist es unbedingt erforderlich, sich potenzieller Bedrohungen bewusst zu sein, die durch den automatisierten JSON-Typ entstehen Deserialisierung. Die Frage ist, ob die automatische Deserialisierung von Typen anfällig für Schwachstellen ist, wenn der einzige deserialisierte Typ ein bestimmter Typ ist (z. B. MyObject) und keines der Mitglieder von MyObject den Typ System.Object oder Dynamic hat.

Antwort:

Die Einhaltung dieser Bedingungen verringert zwar das Risiko erheblich, garantiert jedoch keinen vollständigen Schutz. Die TypeNameHandling-Einstellung von Json.Net kann, wenn sie auf „Auto“ gesetzt ist, möglicherweise Objekte basierend auf „$type“-Informationen erstellen, selbst wenn kein entsprechendes Feld in MyObject vorhanden ist.

Detaillierte Erklärung:

Angriffe auf Json.Net nutzen die TypeNameHandling-Einstellung aus, um „Angriffs-Gadgets“ zu erstellen – Objekte, die das empfangende System gefährden sollen. Zu den Schutzmechanismen von Json.Net gehören das Ignorieren unbekannter Eigenschaften und die Prüfung auf Typkompatibilität. Es gibt jedoch Szenarien, in denen ein Angriffsgerät auch ohne offensichtliche untypisierte Mitglieder erstellt werden kann:

• Deserialisierung untypisierter Sammlungen (z. B. ArrayList, List