Condividi tramite

CA2356: unsafe DataSet o tipo DataTable nel grafico a oggetti deserializzati Web

  • Articolo
Proprietà valore
ID regola CA2356
Title Tipo DataSet o DataTable non sicuro nel grafico di oggetti Web deserializzato
Categoria Sicurezza
La correzione causa un'interruzione o meno Non causa un'interruzione
Abilitato per impostazione predefinita in .NET 9 No

Causa

Un metodo con un System.Web.Services.WebMethodAttribute oggetto o System.ServiceModel.OperationContractAttribute ha un parametro che può fare riferimento a un DataSet oggetto o DataTable.

Questa regola usa un approccio diverso a una regola simile, CA2355: Unsafe DataSet o DataTable in un oggetto grafico deserializzato e troverà avvisi diversi.

Descrizione regola

Quando si deserializza l'input non attendibile e l'oggetto grafico deserializzato contiene un DataSet oggetto o DataTable, un utente malintenzionato può creare un payload dannoso per eseguire un attacco Denial of Service. Potrebbero verificarsi vulnerabilità sconosciute per l'esecuzione del codice remoto.

Per altre informazioni, vedere Linee guida per la sicurezza di DataSet e DataTable.

Come correggere le violazioni

  • Se possibile, usare Entity Framework anziché DataSet e DataTable.
  • Rendere i dati serializzati a prova di manomissione. Dopo la serializzazione, firmare in modo crittografico i dati serializzati. Prima della deserializzazione, convalidare la firma crittografica. Proteggere la chiave crittografica dalla divulgazione e dalla progettazione per le rotazioni delle chiavi.

Quando eliminare gli avvisi

È possibile eliminare un avviso da questa regola se:

  • Si sa che l'input è attendibile. Si consideri che i limiti di attendibilità e i flussi di dati dell'applicazione possono cambiare nel tempo.
  • È stata presa una delle precauzioni riportate in Come correggere le violazioni.

Eliminare un avviso

Se si vuole eliminare una singola violazione, aggiungere direttive del preprocessore al file di origine per disabilitare e quindi riabilitare la regola.

#pragma warning disable CA2356
// The code that's violating the rule is on this line.
#pragma warning restore CA2356

Per disabilitare la regola per un file, una cartella o un progetto, impostarne la gravità none su nel file di configurazione.

[*.{cs,vb}]
dotnet_diagnostic.CA2356.severity = none

Per altre informazioni, vedere Come eliminare gli avvisi di analisi del codice.

Esempi di pseudo-codice

Violazione

using System;
using System.Data;
using System.Web.Services;

[WebService(Namespace = "http://contoso.example.com/")]
public class MyService : WebService
{
    [WebMethod]
    public string MyWebMethod(DataTable dataTable)
    {
        return null;
    }
}

CA2350: Verificare che l'input di DataTable.ReadXml()sia attendibile

CA2351: Verificare che l'input di DataSet.ReadXml()sia attendibile

CA2352: Un elemento DataSet o DataTable non sicuro nel tipo serializzabile può essere vulnerabile agli attacchi di esecuzione di codice remoto

CA2353: Elemento DataSet o DataTable non sicuro in un tipo serializzabile

CA2354: Unsafe DataSet o DataTable nell'oggetto grafico deserializzato può essere vulnerabile all'attacco di esecuzione del codice remoto

CA2355: Unsafe DataSet o DataTable in un oggetto grafico deserializzato

CA2361: Verificare che l'input di DataSet.ReadXml()sia attendibile

CA2362: L'oggetto DataSet o DataTable non sicuro nel tipo serializzabile generato automaticamente può essere vulnerabile ad attacchi di tipo esecuzione di codice remoto