flawopen.com/Unsichere Deserialisierung/Python-pickle-Sicherheit

Ist pickle.load() bei nicht vertrauenswürdigen Daten sicher?

import pickle

# Never accept pickle bytes from a request, upload,
# shared cache, or other untrusted source.
obj = pickle.loads(untrusted_bytes)

import json

def parse_profile(raw: bytes) -> dict[str, str]:
    if len(raw) > 65_536:
        raise ValueError("Payload too large")

    try:
        value = json.loads(raw)
    except (json.JSONDecodeError, UnicodeDecodeError):
        raise ValueError("Invalid JSON") from None

    if not isinstance(value, dict) or set(value) - {"display_name", "theme"}:
        raise ValueError("Invalid profile")

    name = value.get("display_name")
    theme = value.get("theme")
    if not isinstance(name, str) or len(name) > 80:
        raise ValueError("Invalid display name")
    if theme not in {"light", "dark"}:
        raise ValueError("Invalid theme")

    return {"display_name": name, "theme": theme}

Pickle-Stream:

Python-spezifische Bytefolge zur Objektrekonstruktion, einschließlich globaler Referenzen und Rekonstruktionsverhalten.

Unpickling:

Interpretieren des Streams und Wiederherstellen des Objektgraphen; dabei können Funktionen aufgerufen werden.

Vertrauensgrenze:

Stelle, an der Nutzer, Dienst, Upload oder gemeinsamer Speicher Bytes kontrollieren oder ändern kann.

CWE-502:

Deserialisierung nicht vertrauenswürdiger Daten; die Auswirkung hängt davon ab, ob Angreifer geladene Daten liefern oder verändern können.

Warum das Laden von pickle eine Codeausführungsgrenze überschreitet

Ein Pickle-Stream kann Globals und Rekonstruktionsfunktionen benennen. Beim Unpickling löst Unpickler.find_class() Globals einschließlich Funktionen auf; Opcodes können Rekonstruktion auslösen. Gefährlich ist bereits pickle.load() oder pickle.loads(); ein späterer separater execute-Aufruf ist nicht nötig. Der resultierende Code hat die Rechte des Prozesses. Das ist dokumentiertes Formatverhalten; nutze pickle nicht für den Austausch nicht vertrauenswürdiger Daten.

Was JSON behebt — und was nicht

Python warnt, dass das Laden nicht vertrauenswürdiger oder manipulierter Pickle-Daten Code ausführen kann; JSON-Decodierung erzeugt diesen Codeausführungspfad nicht von selbst. JSON validiert Eingaben nicht automatisch: Begrenze die Größe, fordere erwarteten Typ und Felder, prüfe Werte anhand eines Schemas und wende Autorisierung separat an. Muss ein Altprozess pickle laden, authentifiziere vorab die exakten Bytes mit einem geschützten Schlüssel. Eine Signatur belegt Herkunft und Integrität nur unter den Schlüsselannahmen und macht bösartige Daten eines vertrauenswürdigen Signierers nicht sicher. Migriere zu einem Datenformat.

• ✓Entferne pickle.load() und pickle.loads() aus Pfaden für Anfragen, Uploads, gemeinsame Caches und Artefakte unklarer Herkunft.
• ✓Nutze JSON oder ein Datenformat und erzwinge Größenlimit, Schema, erlaubte Felder, Wertebereiche und Endpoint-Autorisierung.
• ✓Wenn ein vertrauenswürdiger interner Ablauf pickle vorübergehend behält, prüfe HMAC oder Signatur der exakten Bytes vor dem Laden, schütze den Schlüssel und beschränke Prozessrechte.
• ✓Suche Pickle-Verbraucher im Code und Datenfluss; ermittle, wer jede Quelle ändern kann, und migriere oder isoliere riskante Stellen.

Häufige Fragen

Primärquellen

• Python-Dokumentation — Pickle-Sicherheitswarnung und eingeschränkte Globals
• Python-Dokumentation — JSON-Decoder
• CWE-502 — Deserialisierung nicht vertrauenswürdiger Daten