安全でないデシリアライゼーションとは？
安全でないデシリアライゼーションとは、外部から受け取った直列化データを、型を検証せずにオブジェクトへ復元する処理の脆弱性。復元の過程で呼ばれる特殊メソッドや、既存クラスを連鎖させたガジェットチェーンを通じて、任意コード実行や認可の回避に至る場合がある。
あんぜんでないでしりあらいぜーしょん
安全でないデシリアライゼーションの意味
外部から受け取った直列化データを、型を検証せずにオブジェクトへ復元する処理の脆弱性。復元の過程で呼ばれる特殊メソッドや、既存クラスを連鎖させたガジェットチェーンを通じて、任意コード実行や認可の回避に至る場合がある。
安全でないデシリアライゼーションの具体例
セッション情報をオブジェクトのまま直列化してCookieに入れている実装で、細工した直列化データを送り込み、復元時に外部コマンドを実行させる。対策は、復元対象のクラスを許可リストで限定するか、JSONなど構造だけを表すデータ形式に置き換えること。
安全でないデシリアライゼーションは試験でどう引っ掛けられる？
暗号化や署名を付ければ改ざんは防げるが、鍵が漏れた場合や、そもそも自分で作った正規のデータを再利用する攻撃には無力。またJSONに変えても、型情報を含めて任意クラスへ復元する設定になっていれば同じ問題が起きる。
安全でないデシリアライゼーションと関連する用語
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。