이 태그가 달린 문서 1건
역직렬화의 위험은 나쁜 값이 들어오는 데 있지 않다. 일부 형식에서는 어떤 타입의 객체를 만들지 외부 데이터가 정한다는 데 있다. 그래서 피해는 데이터 손상에서 멈추지 않는다. OWASP는 서비스 거부, 접근 제어 우회, 원격 코드 실행을 든다. 방어는 두 가지다. 타입을 고르지 않는 순수 데이터 형식으로 바꾸고, 직렬화된 메시지에 서명해 서명 없는 것은 절대 복원하지 않는다. 그리고 어떤 장치는 설정으로 안전하게 만들 수 없으며, 유일한 해결은 쓰지 않는 것이다.