CVE-2026-21012 – Rust serde Deserialización de Enum No Confiable (Inyección de Variantes)

Código del Programa (Rust)

// serde_vuln.rs - Deserializes an enum from user JSON without validation
use serde::{Deserialize, Serialize};
use serde_json;

#[derive(Deserialize, Debug)]
enum AdminAction {
    ReadLogs,
    DeleteUser(String),
    CreateUser(String),
}

#[derive(Deserialize, Debug)]
struct Command {
    action: AdminAction,
}

fn main() {
    let user_input = r#"{"action": {"DeleteUser": "admin"}}"#;
    let cmd: Command = serde_json::from_str(user_input).unwrap();
    println!("Executing: {:?}", cmd.action);
    // Could delete admin if permissions not checked!
}

CVE-2026-21012 – Rust serde Deserialización de Enum No Confiable

Resumen

Una aplicación Rust que usa serde deserializa JSON no confiable en un enum sin validar que el llamador esté autorizado para la variante. Un atacante puede inyectar una variante de enum diferente (p. ej., DeleteUser) y provocar acciones no deseadas.

Detalles de la Vulnerabilidad

• Tipo: Deserialización Insegura / Confusión de Tipos
• Impacto: Ejecución de acciones no autorizadas.
• Causa Raíz: La aplicación no verifica si la variante de enum deserializada coincide con el conjunto limitado esperado para el rol del usuario.

Demostración del Exploit

Compila y ejecuta el programa Rust:

cargo add serde serde_json
rustc serde_vuln.rs
./serde_vuln

Ejecuta la variante DeleteUser sin autorización.