Insecure deserialization

/// <summary>/// Preference của người dùng, dạng DTO PHẲNG với trường nguyên thuỷ.////// Đây là phần bản vá quan trọng nhất và nó không phải một dòng cấu hình: object/// graph trong một cookie là một QUYẾT ĐỊNH THIẾT KẾ, không phải một yêu cầu./// Nếu dữ liệu chỉ mang vài giá trị thì không cần serialize object nào, và lúc đó/// cả họ lỗ hổng này không có chỗ tồn tại./// </summary>public sealed record UserPrefs(string Theme, string Locale, bool CompactMode){    public static UserPrefs Default => new("system", "vi", false);} public sealed class PrefsCodec{    /// <summary>    /// Kiểu do CODE quyết định. System.Text.Json deserialize vào ĐÚNG kiểu đã khai,    /// bỏ qua trường lạ, và KHÔNG có cơ chế nào để dữ liệu chỉ định kiểu — nên    /// không có gadget nào tồn tại được.    ///    /// MaxDepth 32 là bắt buộc dù đã dùng System.Text.Json: chuyển sang JSON đóng    /// RCE và KHÔNG đóng DoS. JSON lồng 10.000 cấp làm hết stack, và    /// StackOverflowException trong .NET KHÔNG bắt được — process chết.    /// </summary>    private static readonly JsonSerializerOptions Options = new()    {        MaxDepth = 32,        PropertyNameCaseInsensitive = true,        // Trường lạ trong JSON bị BỎ theo mặc định. Đặt tường minh để người đọc sau        // biết đó là hành vi được chọn, không phải may mắn.        UnmappedMemberHandling = JsonUnmappedMemberHandling.Skip,    };     private readonly byte[] _key;              // 32 byte từ secret store    private readonly ILogger<PrefsCodec> _log;     public PrefsCodec(IOptions<PrefsOptions> opts, ILogger<PrefsCodec> log)    {        _key = Convert.FromBase64String(opts.Value.HmacKey);        if (_key.Length < 32)            throw new InvalidOperationException("Khoá HMAC phải ≥256 bit");        _log = log;    }     public string Write(UserPrefs prefs)    {        var json = JsonSerializer.SerializeToUtf8Bytes(prefs, Options);        var mac = HMACSHA256.HashData(_key, json);        return $"{WebEncoders.Base64UrlEncode(json)}.{WebEncoders.Base64UrlEncode(mac)}";    }     /// <summary>    /// Trả về Default thay vì throw khi cookie sai: một cookie hỏng là chuyện thường    /// (đổi khoá, cookie cũ), và một exception ở đây biến nó thành 500 cho người dùng thật.    /// </summary>    public UserPrefs Read(string? cookie)    {        if (string.IsNullOrEmpty(cookie)) return UserPrefs.Default;         var dot = cookie.IndexOf('.');        if (dot <= 0) return Reject("thiếu MAC");         byte[] json, mac;        try        {            json = WebEncoders.Base64UrlDecode(cookie[..dot]);            mac = WebEncoders.Base64UrlDecode(cookie[(dot + 1)..]);        }        catch (FormatException) { return Reject("base64 không hợp lệ"); }         // VERIFY TRƯỚC PARSE. Thứ tự này là toàn bộ điểm của lớp này: parse là chỗ        // code chạy, nên verify sau khi parse là verify sau khi đã bị khai thác.        //        // FixedTimeEquals, không phải SequenceEqual: một phép so thoát sớm rò từng        // byte của MAC qua thời gian phản hồi, và đủ để forge được.        var expected = HMACSHA256.HashData(_key, json);        if (!CryptographicOperations.FixedTimeEquals(mac, expected))            return Reject("MAC không khớp");         try        {            return JsonSerializer.Deserialize<UserPrefs>(json, Options) ?? UserPrefs.Default;        }        catch (JsonException) { return Reject("JSON không hợp lệ"); }    }     private UserPrefs Reject(string reason)    {        // Lớp 3 — tín hiệu độ nhiễu rất thấp: client của ta không tạo ra cookie sai MAC.        _log.LogWarning("Cookie prefs bị từ chối: {Reason}", reason);        return UserPrefs.Default;    }} // ── Polymorphism khi CODE cần nó thật ──────────────────────────────────────/// <summary>/// Khi thật sự cần polymorphic deserialization, đây là cách đúng: allowlist HỮU HẠN/// do ta khai, không phải "kiểu nào cũng được".////// Khác biệt cốt lõi so với TypeNameHandling: ở đây tập kiểu có thể dựng là ba, và/// cả ba do ta viết ra. Dữ liệu chọn TRONG ba cái đó, nó không đặt tên kiểu mới./// </summary>[JsonPolymorphic(TypeDiscriminatorPropertyName = "kind",                 UnknownDerivedTypeHandling = JsonUnknownDerivedTypeHandling.FailSerialization)][JsonDerivedType(typeof(EmailNotification), "email")][JsonDerivedType(typeof(SlackNotification), "slack")][JsonDerivedType(typeof(WebhookNotification), "webhook")]public abstract record Notification; public sealed record EmailNotification(string To, string Subject) : Notification;public sealed record SlackNotification(string Channel) : Notification;public sealed record WebhookNotification(string Url) : Notification; // ── Program.cs · trần ở tầng framework ─────────────────────────────────────// Kiểm kích thước trong handler là kiểm SAU KHI đã nhận hết vào RAM.builder.Services.Configure<KestrelServerOptions>(o => o.Limits.MaxRequestBodySize = 1024 * 1024);builder.Services.ConfigureHttpJsonOptions(o =>{    o.SerializerOptions.MaxDepth = 32;});

import hashlibimport hmacimport jsonimport osfrom base64 import urlsafe_b64decode, urlsafe_b64encode import yamlfrom pydantic import BaseModel, Field MAX_BODY = 1 * 1024 * 1024MAX_DEPTH = 32 KEY = os.environ["SESSION_HMAC_KEY"].encode()if len(KEY) < 32:    raise RuntimeError("SESSION_HMAC_KEY phải ≥256 bit")  class SessionState(BaseModel):    """Schema PHẲNG với kiểu nguyên thuỷ.     Kiểu do CODE quyết định: pydantic dựng đúng class này và bỏ trường lạ. Không có    cơ chế nào để dữ liệu đặt tên một class khác, nên không có gadget nào tồn tại.    """    model_config = {"extra": "ignore"}     user_id: int = Field(ge=1)    theme: str = Field(pattern=r"^(light|dark|system)$")    locale: str = Field(pattern=r"^[a-z]{2}$")  def _depth(obj, level: int = 0) -> int:    """JSON an toàn với RCE, không an toàn với DoS: 10.000 cấp lồng làm hết stack.     Đếm độ sâu trước khi đưa vào pydantic — json.loads của Python có trần đệ quy    riêng nhưng nó ném RecursionError, và RecursionError ở giữa một request là 500.    """    if level > MAX_DEPTH:        raise ValueError("nested too deep")    if isinstance(obj, dict):        return max((_depth(v, level + 1) for v in obj.values()), default=level)    if isinstance(obj, list):        return max((_depth(v, level + 1) for v in obj), default=level)    return level  def read_session(cookie: str) -> SessionState | None:    payload_b64, _, mac_b64 = cookie.partition(".")    if not mac_b64:        return None     payload = urlsafe_b64decode(payload_b64 + "==")     # VERIFY TRƯỚC PARSE, và compare_digest (hằng thời gian) chứ không ==.    # Parse là chỗ code chạy — verify sau khi parse là verify sau khi bị khai thác.    expected = hmac.new(KEY, payload, hashlib.sha256).digest()    if not hmac.compare_digest(urlsafe_b64decode(mac_b64 + "=="), expected):        app.logger.warning("cookie session bị từ chối: MAC không khớp")        return None     try:        raw = json.loads(payload)        _depth(raw)        return SessionState.model_validate(raw)    except (ValueError, TypeError) as e:        app.logger.warning("cookie session bị từ chối: %s", e)        return None  def import_config(data: bytes):    if len(data) > MAX_BODY:        raise ValueError("body too large")     # safe_load: chỉ dựng kiểu YAML cơ bản (dict, list, str, int, bool, None).    # !!python/object/apply bị từ chối ở tầng parser.    #    # Lưu ý: safe_load VẪN có billion-laughs qua alias lồng nhau (&a / *a) — cùng    # cơ chế với XXE. Trần độ sâu bên dưới là để đóng nó.    raw = yaml.safe_load(data)    _depth(raw)    return ConfigSchema.model_validate(raw)