Интерфейс ObjectInputFilter

Предупреждение: десериализация недоверенных данных по своей сути опасна и ее следует избегать. Недоверенные данные следует тщательно проверять в соответствии с разделом «Сериализация и десериализация» документа Рекомендации по безопасному программированию для Java SE. В документе Фильтрация сериализации описаны рекомендации по безопасному использованию фильтров сериализации.

Чтобы защититься от уязвимостей десериализации, разработчикам приложений необходимо иметь четкое описание объектов, которые могут десериализоваться каждым компонентом или библиотекой. Для каждого контекста и варианта использования разработчикам следует создавать и применять подходящий фильтр.

Фабрика и фильтры десериализации

В простых случаях для всего приложения можно установить статический фильтр уровня JVM, не задавая фабрику фильтров. Фильтр уровня JVM можно задать либо с помощью системного свойства в командной строке, либо вызвав Config.setSerialFilter. Указывать пользовательскую фабрику фильтров не требуется: по умолчанию используется встроенная фабрика. Встроенная фабрика фильтров предоставляет статический фильтр уровня JVM для каждого ObjectInputStream.

Например, можно задать фильтр, который разрешает классы из пакета example, разрешает классы из модуля java.base и отклоняет все остальные классы. В качестве свойства командной строки:

    % java -Djdk.serialFilter="example.*;java.base/*;!*" ...

    var filter = ObjectInputFilter.Config.createFilter("example.*;java.base/*;!*")
    ObjectInputFilter.Config.setSerialFilter(filter);

В приложении с несколькими контекстами выполнения можно предоставить фабрику фильтров, чтобы защитить отдельные контексты, предоставляя для каждого пользовательский фильтр. При создании потока вызывается фабрика фильтров, чтобы определить контекст выполнения по доступной информации, в том числе по текущему состоянию локальных переменных потока, иерархии вызывающих методов, библиотеке, модулю и загрузчику классов. На этом этапе политика фабрики фильтров по созданию или выбору фильтров может выбрать конкретный фильтр или композицию фильтров на основе контекста. Фабрика фильтров десериализации уровня JVM гарантирует, что для каждого ObjectInputStream можно задать фильтр десериализации для конкретного контекста, а также проверять каждый объект, прочитанный из потока.

Вызов фабрики фильтров

Фабрика фильтров уровня JVM — это функция, вызываемая при ObjectInputStream каждого создании и при установке фильтра для потока. Ее параметры — текущий фильтр и запрошенный фильтр; она возвращает фильтр, который будет использоваться для потока. При вызове из конструкторов ObjectInputStream первый параметр равен null, а второй — статическому фильтру уровня JVM. При вызове из ObjectInputStream.setObjectInputFilter первым параметром является фильтр, установленный в данный момент для потока (который был задан в конструкторе), а вторым — фильтр, переданный в ObjectInputStream.setObjectInputFilter. Текущий и новый фильтры могут быть равны null, а фабрика может возвращать null. Обратите внимание, что реализация фабрики фильтров также может использовать любую доступную ей контекстную информацию, например, извлеченную из контекста потока приложения или стека вызовов, для составления и объединения нового фильтра. Она не ограничена использованием только двух своих параметров.

Активная фабрика фильтров десериализации — это:

• Фабрика фильтров, заданная приложением с помощью ObjectInputFilter.Config.setSerialFilterFactory(BinaryOperator), системного свойства jdk.serialFilterFactory или свойства безопасности jdk.serialFilterFactory.
• В противном случае встроенная фабрика фильтров десериализации предоставляет статический фильтр уровня JVM при вызове из конструкторов ObjectInputStream и заменяет статический фильтр при вызове из ObjectInputStream.setObjectInputFilter(ObjectInputFilter). См. getSerialFilterFactory.

Фильтры

Метод фильтра checkInput(FilterInfo) вызывается ноль или более раз при чтении объектов. Этот метод вызывается для проверки классов, длины каждого массива, количества объектов, считываемых из потока, глубины графа и общего количества байтов, считанных из потока.

Составные фильтры объединяют или проверяют результаты других фильтров. Фильтр merge(filter, anotherFilter) объединяет значения статуса двух фильтров. Фильтр rejectUndecidedClass(filter) проверяет результат фильтра для классов, когда статус равен UNDECIDED. Во многих случаях любой класс, который фильтр не ALLOWED, следует REJECTED.

Фильтр десериализации определяет, разрешены или отклонены аргументы, и должен возвращать соответствующий статус: ALLOWED или REJECTED. Если фильтр не может определить статус, он должен возвращать UNDECIDED. Фильтры следует разрабатывать с учетом конкретного варианта использования и ожидаемых типов. Фильтру, предназначенному для конкретного случая, может быть передан класс, не входящий в область его применения. Если цель фильтра — отклонять классы, он может отклонить соответствующий условию класс-кандидат и сообщить UNDECIDED для остальных. Фильтр может быть вызван, когда класс равен null, arrayLength равен -1, а глубина, число ссылок и размер потока имеют определенные значения, и возвращать статус, отражающий только одно или некоторые из этих значений. Это позволяет фильтру точно указывать, на основании чего он принимает решение, и использовать другие фильтры, не принуждая их возвращать статус «разрешен» или «отклонен».

Примеры модели фильтрации

Для приложения, состоящего из нескольких модулей или библиотек, структуру приложения можно использовать для определения классов, которые следует разрешать или отклонять каждому ObjectInputStream в каждом контексте приложения. Фабрика фильтров десериализации вызывается при создании каждого потока и может изучить поток или программу, чтобы определить фильтр для конкретного контекста. Возможны следующие примеры:

• В локальном состоянии потока можно хранить фильтр, который следует применить или объединить с фильтром конкретного потока. Приложение или библиотеки могут помещать фильтры в виртуальный стек и извлекать их из него.
• Фабрика фильтров может определить вызывающий метод десериализации и использовать контекст модуля или библиотеки, чтобы выбрать фильтр или составить подходящий фильтр для конкретного контекста. Механизм может определять вызывающий код с ограниченным или неограниченным доступом к сериализованным классам и выбирать фильтр соответственно.

Пример фильтрации каждой операции десериализации в потоке

public static final class FilterInThread implements BinaryOperator<ObjectInputFilter> {

    private final ThreadLocal<ObjectInputFilter> filterThreadLocal = new ThreadLocal<>();

    // Construct a FilterInThread deserialization filter factory.
    public FilterInThread() {}

    // Returns a composite filter of the static JVM-wide filter, a thread-specific filter,
    // and the stream-specific filter.
    public ObjectInputFilter apply(ObjectInputFilter curr, ObjectInputFilter next) {
        if (curr == null) {
            // Called from the OIS constructor or perhaps OIS.setObjectInputFilter with no current filter
            var filter = filterThreadLocal.get();
            if (filter != null) {
                // Merge to invoke the thread local filter and then the JVM-wide filter (if any)
                filter = ObjectInputFilter.merge(filter, next);
                return ObjectInputFilter.rejectUndecidedClass(filter);
            }
            return (next == null) ? null : ObjectInputFilter.rejectUndecidedClass(next);
        } else {
            // Called from OIS.setObjectInputFilter with a current filter and a stream-specific filter.
            // The curr filter already incorporates the thread filter and static JVM-wide filter
            // and rejection of undecided classes
            // If there is a stream-specific filter merge to invoke it and then the current filter.
            if (next != null) {
                return ObjectInputFilter.merge(next, curr);
            }
            return curr;
        }
    }

    // Applies the filter to the thread and invokes the runnable.
    public void doWithSerialFilter(ObjectInputFilter filter, Runnable runnable) {
        var prevFilter = filterThreadLocal.get();
        try {
            filterThreadLocal.set(filter);
            runnable.run();
        } finally {
            filterThreadLocal.set(prevFilter);
        }
    }
}

Использование фабрики фильтров

       // Create a FilterInThread filter factory and set
       var filterInThread = new FilterInThread();
       ObjectInputFilter.Config.setSerialFilterFactory(filterInThread);

       // Create a filter to allow example.* classes and reject all others
       var filter = ObjectInputFilter.Config.createFilter("example.*;java.base/*;!*");
       filterInThread.doWithSerialFilter(filter, () -> {
             byte[] bytes = ...;
             var o = deserializeObject(bytes);
       });

Если не указано иное, передача аргумента null методу этого интерфейса или его вложенных классов приводит к выбрасыванию исключения NullPointerException.