flawopen.com/Désérialisation non sécurisée/PHP unserialize()

unserialize() de PHP est-il sûr pour des données non fiables ?

<?php
// Cookie content is controlled by the client.
$input = $_COOKIE['prefs'] ?? '';
$data = unserialize($input);

// Restoring an object may invoke its
// __unserialize() or __wakeup() method.
// Later object destruction may invoke __destruct().

// The risk depends on available classes,
// their serialized state, and reachable behavior.

<?php
$input = $_POST['prefs'] ?? null;
if (!is_string($input)) {
    http_response_code(400);
    exit;
}

try {
    $data = json_decode(
        $input,
        true,
        512,
        JSON_THROW_ON_ERROR
    );
} catch (JsonException $e) {
    http_response_code(400);
    exit;
}

if (!is_array($data)) {
    http_response_code(400);
    exit;
}

// Validate required keys and value types here.

Conditions d’une chaîne d’injection d’objets PHP

L’injection d’objets ne signifie pas une exécution automatique de code. La valeur sérialisée doit nommer une classe que PHP peut résoudre et que les options autorisent ; la restauration ou l’utilisation ultérieure doit aussi atteindre un comportement ayant un impact de sécurité. PHP peut appeler __unserialize() ou __wakeup() pendant la restauration ; __destruct() peut s’exécuter à la destruction et __toString() uniquement dans un contexte de chaîne.

Une chaîne Property-Oriented Programming (POP) relie des comportements déjà présents dans l’application ou ses dépendances chargées. L’exploitabilité dépend des classes réelles, des propriétés sérialisées, du chemin d’appel et du contexte d’exécution. Il faut démontrer une chaîne de gadgets pour la cible ; la seule présence de unserialize() ne suffit pas.

Pourquoi filtrer la chaîne ou utiliser allowed_classes ne suffit pas

Bloquer un marqueur comme O:, filtrer des noms de classe ou limiter la longueur ne valide pas sûrement la sérialisation PHP. Surtout, PHP déconseille explicitement de transmettre des données non fiables à unserialize(), quelle que soit la valeur de allowed_classes. Une classe interdite devient un objet __PHP_Incomplete_Class ; la structure est tout de même analysée. Pour des données anciennes de confiance, validez la forme obtenue et limitez la profondeur. Préférez JSON pour l’état client.

Questions fréquentes

Références

• Manuel PHP — unserialize()
• Manuel PHP — méthodes magiques
• Manuel PHP — décodage JSON
• Manuel PHP — __PHP_Incomplete_Class
• OWASP — injection d’objets PHP
• CWE-502 — désérialisation de données non fiables
• Python pickle est-il sûr avec des données non fiables ?
• Java ObjectInputStream est-il sûr avec des données non fiables ?