Интерфейс ObjectInputFilter

Предупреждение: Десериализация недоверенных данных изначально опасна и должна быть избегнута. Недоверенные данные должны быть тщательно проверены в соответствии с разделом "Сериализация и десериализация" руководства по защищенному программированию Java SE Secure Coding Guidelines for Java SE. Фильтрация сериализации описывает лучшие практики для защищенного использования фильтров сериализации.

Для защиты от уязвимостей десериализации разработчикам приложений необходимо четкое описание объектов, которые могут быть десериализованы каждым компонентом или библиотекой. Для каждого контекста и сценария использования разработчики должны создавать и применять соответствующий фильтр.

Фабрика и фильтры для фильтрации десериализации

В простых случаях можно установить статический фильтр JVM для всего приложения без установки фабрики фильтров. Статический фильтр JVM можно установить либо с помощью системной переменной в командной строке, либо вызвав Config.setSerialFilter. Не требуется указывать пользовательскую фабрику фильтров, по умолчанию используется встроенная фабрика фильтров. Встроенная фабрика фильтров предоставляет статический фильтр JVM для каждого ObjectInputStream.

Например, можно установить фильтр, который разрешает примерные классы, разрешает классы в модуле java.base и отклоняет все остальные классы: в качестве системной переменной в командной строке:

    % java -Djdk.serialFilter="example.*;java.base/*;!*" ...

    var filter = ObjectInputFilter.Config.createFilter("example.*;java.base/*;!*")
    ObjectInputFilter.Config.setSerialFilter(filter);

В приложении с несколькими контекстами выполнения приложение может предоставить фабрику фильтров, чтобы защитить отдельные контексты, предоставив пользовательский фильтр для каждого. При создании потока фабрика фильтров вызывается для определения контекста выполнения из доступной информации, включая текущее состояние потока, иерархию вызывающих сторон, библиотеку, модуль и загрузчик классов. В этот момент политика фабрики фильтров для создания или выбора фильтров может выбрать конкретный фильтр или состав фильтров, основанный на контексте. Фабрика фильтров десериализации JVM гарантирует, что контекстно-специфический фильтр десериализации может быть установлен на каждом ObjectInputStream, и каждый объект, считанный из потока, может быть проверен.

Вызов фабрики фильтров

Встроенная фабрика фильтров JVM — это функция, вызываемая при создании каждого ObjectInputStream и при установке фильтра, специфичного для потока. Параметрами являются текущий фильтр и запрашиваемый фильтр, и она возвращает фильтр, который будет использоваться для потока. При вызове из конструкторов ObjectInputStream первый параметр — null, а второй параметр — статический фильтр JVM. При вызове из ObjectInputStream.setObjectInputFilter первый параметр — фильтр, который в данный момент установлен в потоке (он был установлен в конструкторе), а второй параметр — фильтр, предоставленный ObjectInputStream.setObjectInputFilter. Текущий и новый фильтры могут быть null, и фабрика может вернуть null. Обратите внимание, что реализация фабрики фильтров также может использовать любую контекстную информацию, доступную ей, например, извлеченную из контекста потока приложения или стека вызовов, для составления и объединения нового фильтра. Она не ограничена только использованием двух параметров.

Активная фабрика фильтров десериализации:

• Пользовательская фабрика фильтров, заданная через ObjectInputFilter.Config.setSerialFilterFactory(BinaryOperator) или системную переменную jdk.serialFilterFactory, или свойство безопасности jdk.serialFilterFactory.
• В противном случае встроенная фабрика фильтров десериализации предоставляет статический фильтр JVM при вызове из конструкторов ObjectInputStream и заменяет статический фильтр при вызове из ObjectInputStream.setObjectInputFilter(ObjectInputFilter). См. getSerialFilterFactory.

Фильтры

Метод фильтра checkInput(FilterInfo) вызывается ноль или более раз во время чтения объектов. Метод вызывается для проверки классов, длины каждого массива, количества объектов, считываемых из потока, глубины графа и общего количества байтов, прочитанных из потока.

Составные фильтры объединяют или проверяют результаты других фильтров. Фильтр merge(filter, anotherFilter) объединяет значение статуса двух фильтров. Фильтр rejectUndecidedClass(filter) проверяет результат фильтра для классов, когда статус UNDECIDED. Во многих случаях любой класс, не ALLOWED фильтром, должен быть REJECTED.

Фильтр десериализации определяет, разрешены или отклонены аргументы, и должен вернуть соответствующий статус: ALLOWED или REJECTED. Если фильтр не может определить статус, он должен вернуть UNDECIDED. Фильтры должны быть разработаны для конкретного сценария использования и ожидаемых типов. Фильтр, разработанный для определенного использования, может получить класс за пределами области действия фильтра. Если цель фильтра — отклонение классов, он может отклонить кандидатный класс, который совпадает, и сообщить UNDECIDED для других. Фильтр может вызываться с классом равным null, arrayLength равным -1, глубиной, количеством ссылок и размером потока и возвращать статус, отражающий только одно или только некоторые из значений. Это позволяет фильтру быть конкретным относительно выбранного значения и использовать другие фильтры без принуждения к статусу разрешения или отклонения.

Примеры модели фильтров

Для приложения, составленного из нескольких модулей или библиотек, структура приложения может быть использована для определения классов, которые должны быть разрешены или отклонены каждым ObjectInputStream в каждом контексте приложения. Фабрика фильтров десериализации вызывается при создании каждого потока и может проанализировать поток или программу, чтобы определить контекстно-специфический фильтр, который нужно применить. Некоторые возможные примеры:

• Состояние потока может содержать фильтр, который нужно применить или составить со специфичным для потока фильтром. Фильтры могут быть помещены и извлечены из виртуального стека фильтров, поддерживаемого приложением или библиотеками.
• Фабрика фильтров может определить вызывающую сторону метода десериализации и использовать контекст модуля или библиотеки для выбора фильтра или составления соответствующего контекстно-специфического фильтра. Механизм может определить вызывающую сторону с ограниченным или неограниченным доступом к сериализованным классам и выбрать фильтр соответственно.

Пример фильтрации каждой десериализации в потоке

public static final class FilterInThread implements BinaryOperator<ObjectInputFilter> {

    private final ThreadLocal<ObjectInputFilter> filterThreadLocal = new ThreadLocal<>();

    // Construct a FilterInThread deserialization filter factory.
    public FilterInThread() {}

    // Returns a composite filter of the static JVM-wide filter, a thread-specific filter,
    // and the stream-specific filter.
    public ObjectInputFilter apply(ObjectInputFilter curr, ObjectInputFilter next) {
        if (curr == null) {
            // Called from the OIS constructor or perhaps OIS.setObjectInputFilter with no current filter
            var filter = filterThreadLocal.get();
            if (filter != null) {
                // Merge to invoke the thread local filter and then the JVM-wide filter (if any)
                filter = ObjectInputFilter.merge(filter, next);
                return ObjectInputFilter.rejectUndecidedClass(filter);
            }
            return (next == null) ? null : ObjectInputFilter.rejectUndecidedClass(next);
        } else {
            // Called from OIS.setObjectInputFilter with a current filter and a stream-specific filter.
            // The curr filter already incorporates the thread filter and static JVM-wide filter
            // and rejection of undecided classes
            // If there is a stream-specific filter merge to invoke it and then the current filter.
            if (next != null) {
                return ObjectInputFilter.merge(next, curr);
            }
            return curr;
        }
    }

    // Applies the filter to the thread and invokes the runnable.
    public void doWithSerialFilter(ObjectInputFilter filter, Runnable runnable) {
        var prevFilter = filterThreadLocal.get();
        try {
            filterThreadLocal.set(filter);
            runnable.run();
        } finally {
            filterThreadLocal.set(prevFilter);
        }
    }
}

Использование фабрики фильтров

       // Create a FilterInThread filter factory and set
       var filterInThread = new FilterInThread();
       ObjectInputFilter.Config.setSerialFilterFactory(filterInThread);

       // Create a filter to allow example.* classes and reject all others
       var filter = ObjectInputFilter.Config.createFilter("example.*;java.base/*;!*");
       filterInThread.doWithSerialFilter(filter, () -> {
             byte[] bytes = ...;
             var o = deserializeObject(bytes);
       });

Если не указано иное, передача null аргумента в метод в этом интерфейсе и его вложенных классах приведет к выбросу NullPointerException.