安全でないデシリアライゼーションとは？あんぜんでないでしりあらいぜーしょん
安全でないデシリアライゼーションとは、外部から受け取った直列化データを、型を検証せずにオブジェクトへ復元する処理の脆弱性。復元の過程で呼ばれる特殊メソッドや、既存クラスを連鎖させたガジェットチェーンを通じて、任意コード実行や認可の回避に至る場合がある。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →具体例
セッション情報をオブジェクトのまま直列化してCookieに入れている実装で、細工した直列化データを送り込み、復元時に外部コマンドを実行させる。対策は、復元対象のクラスを許可リストで限定するか、JSONなど構造だけを表すデータ形式に置き換えること。
試験での引っ掛け
暗号化や署名を付ければ改ざんは防げるが、鍵が漏れた場合や、そもそも自分で作った正規のデータを再利用する攻撃には無力。またJSONに変えても、型情報を含めて任意クラスへ復元する設定になっていれば同じ問題が起きる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。