Güvensiz seri durumdan çıkarma: veriler koda dönüştüğünde

Kısaca: Seri durumdan çıkarmada saklanan baytlar yeniden nesne olur; girdi saldırganlardan geliyorsa bazı biçimler (pickle, Java serileştirme, YAML) rastgele kod çalıştırabilir.

Biraz daha ayrıntılı: Serileştirme nesneleri bayta/metne çevirir (saklama, gönderme), seri durumdan çıkarma geri çevirir. Bazı biçimler rastgele sınıfların nesnelerini oluşturabilir ve yöntem çağırabilir: güvenilmeyen verilerle bu, uzaktan kod yürütmeye (RCE) açılan bir kapıdır.

Ayrıntılı

Tehlikeli biçimler

• Python pickle (ve shelve, pickle’lı joblib/torch.load): güvenilmeyen kaynaklardan asla yükleme.

Korunma: JSON gibi yalnızca veri biçimlerini tercih et, kaynağı doğrula.

Ayrıca bak: OWASP Top 10, ONNX ve model dışa aktarma