java.object-deserialization

Die Deserialisierung von Objekten mit ObjectInputStream wurde gefunden. Ganze Java-Objekte zu deserialisieren ist gefährlich, weil Angreifer Java-Objektströme mit unbeabsichtigten Folgen erzeugen können. Stellen Sie sicher, dass die deserialisierten Objekte nicht benutzerkontrolliert sind. Falls unvermeidbar, signieren Sie den Datenstrom mit HMACs gegen Manipulation oder übertragen Sie nur Objektfelder und befüllen Sie ein neues Objekt.

Found object deserialization using ObjectInputStream. Deserializing entire Java objects is dangerous because malicious actors can create Java object streams with unintended consequences. Ensure that the objects being deserialized are not user-controlled. If this must be done, consider using HMACs to sign the data stream to make sure it is not tampered with, or consider only transmitting object fields and populating a new object.

Une désérialisation d'objets via ObjectInputStream a été détectée. Désérialiser des objets Java entiers est dangereux : des acteurs malveillants peuvent fabriquer des flux d'objets aux conséquences inattendues. Assurez-vous que les objets désérialisés ne sont pas contrôlés par l'utilisateur. Si c'est incontournable, pensez à signer le flux de données avec des HMAC pour empêcher toute falsification, ou ne transmettez que les champs de l'objet pour remplir un nouvel objet.

ObjectInputStream を使用したオブジェクトのデシリアライズが検出されました。Java オブジェクト全体をデシリアライズすることは危険です——攻撃者は予期しない結果をもたらす Java オブジェクトストリームを構築できます。デシリアライズするオブジェクトがユーザーの制御下にないことを確認してください。どうしても必要な場合は、HMAC でデータストリームに署名して改ざんを防ぐか、オブジェクトのフィールドだけを転送して新しいオブジェクトに格納することを検討してください。

ObjectInputStream을 사용하는 객체 역직렬화가 발견되었습니다. 완전한 Java 객체를 역직렬화하는 것은 위험합니다. 공격자는 예상치 못한 결과를 초래하는 Java 객체 스트림을 구성할 수 있습니다. 역직렬화되는 객체가 사용자의 제어를 받지 않도록 하십시오. 반드시 그렇게 해야 한다면 변조를 방지하기 위해 HMAC으로 데이터 스트림에 서명하거나, 객체 필드만 전송하여 새 객체를 채우는 방식을 고려하십시오.

Обнаружена десериализация объектов через ObjectInputStream. Десериализация целых объектов Java опасна: злоумышленники могут создать потоки объектов с непредвиденными последствиями. Убедитесь, что десериализуемые объекты не контролируются пользователем; если это необходимо, подписывайте поток данных с помощью HMAC, чтобы исключить подмену, либо передавайте только поля объекта и заполняйте новый объект.

发现使用 ObjectInputStream 的对象反序列化。反序列化完整的 Java 对象是危险的——恶意者可构造带来意外后果的 Java 对象流。请确保被反序列化的对象不受用户控制；若必须这样做，考虑用 HMAC 对数据流签名以防篡改，或只传输对象字段再填充新对象。

發現使用 ObjectInputStream 的物件還原序列化。還原序列化完整的 Java 物件是危險的——惡意者可建構帶來意外後果的 Java 物件流。請確保被還原序列化的物件不受使用者控制；若必須這樣做，考慮用 HMAC 對資料流簽名以防篡改，或只傳輸物件欄位再填充新物件。