PHPシリアライズ脆弱性の修復方法
PHPシリアライズ化脆弱性を修正するために以下を実行できます。
- ユーザー入力を厳密にフィルタリングし検査し、事前に特定の型と構造を許可したシリアライゼーションのみを行う：ホワイトリストメカニズムを使用してシリアライズ可能なクラスやメソッドを制限できる。
- 安全なデシリアライズ関数を使用する: unserialize() 関数など、可能な限り安全なデシリアライズ関数を使用します。 eval() などの不安全なデシリアライズ関数は使用しないでください。これらの関数は任意の PHP コードを実行する可能性があるからです。
- シリアライズとデシリアライズのデータ検証：シリアライズとデシリアライズの処理中に、データの検証と完全性の確認を実行します。シリアライズされたデータに署名やMAC（メッセージ認証コード）を追加することで、データの完全性と認証を確実にすることができます。
- シリアライズやデシリアライズの際には，クラス名ではなくオブジェクトの識別子を使うこと．こうすることで，攻撃者が悪意のあるクラス名を構築することでコードを実行するのを防ぐことができる．
- PHPのバージョンと関連コンポーネントの更新：既知のシリアル化脆弱性を修正するには、PHPのバージョンと関連コンポーネントをタイムリーにアップデートします。同様に、システムとアプリケーションのセキュリティパッチも最新の状態に保ちます。
- 安全設定：PHPの設定ファイルに、危険な関数の無効化、シリアライズの深さと複雑さの制限などの安全設定を構成する。
- 安全なシリアライズ化・デシリアライズ化ライブラリの使用：セキュアなシリアライズ化・デシリアライズ化ライブラリは、サードパーティで安全かつ安定的に動作するように監査・検証されています。
- サードパーティのコードやコンポーネントをレビューする： 使用するサードパーティのコードやコンポーネントをレビューや評価を行い、安全性や信頼性を確保する。 できるだけ安全監査や検証済みのコンポーネントを選択し、適宜更新やアップグレードを行う。
PHPシリアライズ脆弱性の修復には、ユーザー入力をフィルタリングする、セキュアなシリアライズ関数の利用、データバリデーション、PHPバージョンおよび関連コンポーネントのアップデート、セキュリティオプションの設定、セキュアなライブラリの利用など、複数の対策を組み合わせることが求められます。また、システムとアプリケーションのセキュリティ監査と評価を行い、既知の脆弱性をタイムリーに修復します。
