flawopen.com/安全でないデシリアライズ/Python pickle の安全性

Python の pickle.load() は信頼できないデータに安全ですか？

import pickle

# Never accept pickle bytes from a request, upload,
# shared cache, or other untrusted source.
obj = pickle.loads(untrusted_bytes)

import json

def parse_profile(raw: bytes) -> dict[str, str]:
    if len(raw) > 65_536:
        raise ValueError("Payload too large")

    try:
        value = json.loads(raw)
    except (json.JSONDecodeError, UnicodeDecodeError):
        raise ValueError("Invalid JSON") from None

    if not isinstance(value, dict) or set(value) - {"display_name", "theme"}:
        raise ValueError("Invalid profile")

    name = value.get("display_name")
    theme = value.get("theme")
    if not isinstance(name, str) or len(name) > 80:
        raise ValueError("Invalid display name")
    if theme not in {"light", "dark"}:
        raise ValueError("Invalid theme")

    return {"display_name": name, "theme": theme}

Pickle ストリーム：

オブジェクト復元を記述する Python 固有のバイト列。グローバル参照や復元動作を含みます。

Unpickling：

ストリームを解釈してオブジェクトグラフを復元する処理。関数を呼び出す場合があります。

信頼境界：

ユーザー、サービス、アップロード、共有ストレージがバイト列を操作できる箇所です。

CWE-502：

信頼できないデータのデシリアライズ。攻撃者が読み込みデータを提供・改変できるかで影響が決まります。

pickle の読み込みがコード実行境界を越える理由

pickle ストリームはグローバルと復元関数を指定できます。Unpickling 中に Unpickler.find_class() が関数などのグローバルを解決し、opcode が復元動作を起こします。危険なのは pickle.load() または pickle.loads() 自体であり、後から execute を呼ぶ必要はありません。コードはプロセス権限で動きます。これは形式の仕様上の動作なので、信頼できないデータの交換に pickle を使わないでください。

JSON で解決できること、できないこと

Python の文書は、信頼できない、または改ざんされた pickle の読み込みが任意コードを実行し得ると警告しています。一方、JSON のデコード自体はそのコード実行経路を作りません。JSON も自動で入力検証はしません。サイズ、トップレベル型、フィールド、値をスキーマで検証し、認可も別に行います。旧システムで pickle が必要なら、保護された鍵で正確なバイト列を読み込み前に認証します。署名は鍵の前提下で送信元と完全性を示すだけで、信頼された署名者の悪意あるデータを安全にはしません。データ専用形式へ移行してください。

• ✓リクエスト、アップロード、共有キャッシュ、出所不明の成果物を扱う経路から pickle.load() と pickle.loads() を削除します。
• ✓JSON などのデータ専用形式を使い、サイズ、スキーマ、許可フィールド、値域、エンドポイント認可を検証します。
• ✓信頼された内部処理で一時的に pickle を使う場合、読み込み前に正確なバイト列の HMAC または署名を検証し、鍵を保護してプロセス権限を制限します。
• ✓コードとデータフローで pickle の利用箇所を探し、各データを書き換えられる主体を確認して移行または隔離します。

よくある質問

一次資料

• Python ドキュメント — pickle の安全警告と制限付きグローバル
• Python ドキュメント — JSON デコーダー
• CWE-502 — 信頼できないデータのデシリアライズ