java - Java 9计划的 "Filtering Incoming Serialization Data"是否解决了数据反序列化安全漏洞？

Question

我一直在浏览 Java 9 的新功能，发现了这一点: JEP 290: Filter Incoming Serialization Data根据另一篇文章，java 中的反序列化数据存在安全问题: Deserialization of untrusted data

根据第一篇文章的文本，我有理由相信这是对第二篇文章的问题的反馈，但我不太确定。这个错误对于 Java 来说还存在吗？如果是的话，新的 Java 是否完全解决了这个问题？

Answer 1

首先，不可信数据的反序列化并不像您所描述的那样是Java的错误。

当应用程序开发人员/架构师设计其应用程序时，应用程序会在未经验证的情况下对来自不受信任来源的序列化数据进行反序列化，从而引入该漏洞。

重要的是要了解此漏洞是由不良的应用程序设计引入的。

JEP 290 允许开发人员和/或安全工程师在数据反序列化之前对其进行验证。序列化过滤如果正确完成，可以帮助减轻一些反序列化攻击，但并不能完全解决问题，而且大规模配置和部署非常复杂。

您可以在此处阅读序列化过滤功能的详细评估:https://dzone.com/articles/a-first-look-into-javas-new-serialization-filterin

要更好地了解反序列化漏洞以及如何保护您的应用程序，您可以在此处阅读更多信息:https://dzone.com/articles/why-runtime-compartmentalization-is-the-most-compr