信頼できないデータのデシリアライズ – 業務改善推進プロジェクト

この用語の意味

デシリアライズは、保存・送信のために変換したデータを、プログラムで使う構造やオブジェクトへ戻す処理です。信頼できないデータを十分に検証せず復元すると、意図しないコードの実行、データ変更、情報漏えい、サービス停止などにつながる場合があります。影響は言語・ライブラリ・実装によって異なります。

開発担当者が、外部ファイル、API入力、セッション等の読み込み処理をレビューできます。入力元、形式、型、長さ、復元時に動く処理を確認し、危険な設計を見直せます。

利用言語・ライブラリの公式仕様、入力の形式、許可する型や値、検査方法を用意します。開発者のレビューと、隔離した試験環境が必要です。

入力仕様の整理、処理の修正、互換性試験、ライブラリ更新に時間がかかります。外部サービスとのデータ形式変更は双方の調整費も見積もります。

MITRE CWEではCWE-502として整理されています。言語や復元機能によって影響と対策は異なります。安全なデータ形式を選び、許可項目を検証します。署名や形式変更だけで十分と決めつけません。情報確認日：2026年10月14日。

機密情報を含まない試験データで、許可した項目、未知の型、過大な入力、不正な形式を確認します。不要なオブジェクトの復元を避け、異常入力が拒否されることを開発者が確認します。

外部入力をそのままオブジェクトへ戻しません。JSON等でも型・値・サイズ・用途の検証は必要です。本番で攻撃的なデータを試さず、既存仕様への影響を確認して変更します。