CVE-2026-21012 – Rust serde Deserialization of Untrusted Enum (Variant Injection)

프로그램 코드 (Rust)

// serde_vuln.rs - Deserializes an enum from user JSON without validation
use serde::{Deserialize, Serialize};
use serde_json;

#[derive(Deserialize, Debug)]
enum AdminAction {
    ReadLogs,
    DeleteUser(String),
    CreateUser(String),
}

#[derive(Deserialize, Debug)]
struct Command {
    action: AdminAction,
}

fn main() {
    let user_input = r#"{"action": {"DeleteUser": "admin"}}"#;
    let cmd: Command = serde_json::from_str(user_input).unwrap();
    println!("Executing: {:?}", cmd.action);
    // Could delete admin if permissions not checked!
}

CVE-2026-21012 – Rust serde Deserialization of Untrusted Enum

개요

serde를 사용하는 Rust 애플리케이션이 신뢰할 수 없는 JSON을 검증 없이 enum으로 역직렬화하여, 호출자가 해당 variant에 대한 권한이 있는지 확인하지 않습니다. 공격자는 다른 enum variant(예: DeleteUser)를 주입하여 의도치 않은 작업을 유발할 수 있습니다.

취약점 세부 정보

유형: 안전하지 않은 역직렬화 / 타입 혼동(Type Confusion)
영향: 승인되지 않은 작업 실행.
근본 원인: 애플리케이션이 역직렬화된 enum variant가 사용자 역할에 허용된 제한된 집합과 일치하는지 확인하지 않습니다.

익스플로잇 시연

Rust 프로그램을 컴파일하고 실행합니다:

cargo add serde serde_json
rustc serde_vuln.rs
./serde_vuln

권한 확인 없이 DeleteUser variant를 실행합니다.

CVE-2026-21012-Rust-serde-Deserialization-of-Untrusted-Enum-Variant-Injection-

인기