flawopen.com/안전하지 않은 역직렬화/.NET BinaryFormatter 보안

.NET BinaryFormatter는 안전한가요?

// 신뢰 경계를 넘는 데이터를 역직렬화하지 마세요.
using System.IO;
using System.Runtime.Serialization.Formatters.Binary;

public static class LegacyReader
{
    public static object Deserialize(Stream input) =>
        new BinaryFormatter().Deserialize(input);
}

// 제한 없는 다형성 serializer도 제거하세요:
SoapFormatter
NetDataContractSerializer
LosFormatter
ObjectStateFormatter  // ASP.NET ViewState 내부에서 사용

// SerializationBinder도 이 형식을 안전하게 만들지 않습니다.

// 데이터 구조는 애플리케이션 코드에서 선언합니다.
// Nullable reference types make the DTO contract explicit.
#nullable enable
using System;
using System.IO;
using System.Text.Json;

public sealed record MyDto(int Id, string Name);

public static class DtoReader
{
    public static MyDto Parse(ReadOnlySpan<byte> json)
    {
        // 입력 크기를 제한하고 애플리케이션 규칙을 검증하세요.
        if (json.Length > 65_536)
            throw new InvalidDataException();

        MyDto? value = JsonSerializer.Deserialize<MyDto>(json);
        if (value is null || value.Id <= 0 ||
            string.IsNullOrWhiteSpace(value.Name) ||
            value.Name.Length > 100)
            throw new InvalidDataException();

        return value;
    }
}

// 기존 NRBF 파일은 NrbfDecoder로 레코드를 확인하고
// 허용된 값만 DTO에 매핑하세요.
// 임의 런타임 형식을 재생성하지 마세요.

BinaryFormatter가 위험한 이유

BinaryFormatter.Deserialize는 스트림에서 객체 그래프를 재구성하며 공격자가 제어하는 데이터가 실행 흐름에 영향을 줄 수 있습니다. Microsoft는 서비스 거부, 정보 노출, 원격 코드 실행 위험을 경고합니다. 핵심 문제는 제한 없는 다형성 역직렬화입니다. 직렬화 데이터가 처리될 형식과 객체 상태에 영향을 줄 수 있습니다. 어떤 formatter 설정도 이를 신뢰할 수 없는 바이트를 읽는 안전한 파서로 바꾸지 못합니다.

위험은 공개 HTTP 엔드포인트에만 있지 않습니다. 파일, 캐시, 큐, DB 레코드, 데스크톱 클라이언트 메시지, 클라우드 동기화 상태도 나중에 공격자 영향을 받을 수 있습니다. 바이트가 시스템에 들어와 이동하는 경로를 추적하세요. “우리가 쓴 데이터” 또는 “내부 데이터”는 영구적인 신뢰 표시가 아닙니다.

SerializationBinder만으로 부족한 이유

사용자 지정 SerializationBinder는 formatter가 확인하는 형식을 제한할 수 있지만, Microsoft는 binder나 설정 변경이 DoS를 막지 못하고 다른 공격도 충분히 완화하지 못할 수 있다고 명시합니다. Binder는 마이그레이션 대안이 아닙니다. 제거를 기다리는 동안에도 신뢰할 수 없는 입력을 받지 마세요.

레거시 사용과 관련 경로 찾기

소스, 프로젝트 참조, 런타임 설정에서 BinaryFormatter, IFormatter, SoapFormatter, NetDataContractSerializer, LosFormatter, ObjectStateFormatter를 검색하세요. 세션 provider, 캐시 adapter, 큐 consumer, 파일 입출력, 기존 ASP.NET Web Forms 경로도 확인하세요. ViewState는 보통 메시지 인증 코드(MAC)로 보호됩니다. 보호를 유지하고 machine key를 보호하세요. MAC이 일반 BinaryFormatter 역직렬화를 안전하게 만들지는 않습니다.

데이터 형식과 런타임 버전에 따라 마이그레이션

새 데이터는 형식과 호환성에 맞춰 System.Text.Json, DataContractSerializer, MessagePack, protobuf-net 같은 명시적 계약을 선택하세요. 바로 대체할 제품은 없습니다. 기존 NRBF 파일을 보존해야 한다면 .NET 9의 NrbfDecoder가 인코딩된 애플리케이션 형식을 인스턴스화하지 않고 레코드를 디코딩할 수 있습니다. 구조를 검증하고 예상된 값만 DTO에 매핑하세요. WinForms/WPF의 리소스, 클립보드, 끌어서 놓기 마이그레이션도 별도로 확인하세요.

자주 묻는 질문

출처 및 참고자료

• Microsoft Learn — BinaryFormatter security guide
• Microsoft Learn — BinaryFormatter migration guide
• Microsoft Learn — Choose a BinaryFormatter replacement
• Microsoft Learn — Safely read NRBF payloads with NrbfDecoder
• Microsoft Learn — SYSLIB0011
• Microsoft Learn — ASP.NET ViewState MAC
• CWE-502 — Deserialization of Untrusted Data
• Is Json.NET TypeNameHandling safe?