CVE-2026-21012 – Rust serde: десериализация недоверенного перечисления (инъекция варианта)

Код программы (Rust)

// serde_vuln.rs - Deserializes an enum from user JSON without validation
use serde::{Deserialize, Serialize};
use serde_json;

#[derive(Deserialize, Debug)]
enum AdminAction {
    ReadLogs,
    DeleteUser(String),
    CreateUser(String),
}

#[derive(Deserialize, Debug)]
struct Command {
    action: AdminAction,
}

fn main() {
    let user_input = r#"{"action": {"DeleteUser": "admin"}}"#;
    let cmd: Command = serde_json::from_str(user_input).unwrap();
    println!("Executing: {:?}", cmd.action);
    // Could delete admin if permissions not checked!
}

CVE-2026-21012 – Rust serde: десериализация недоверенного перечисления

Обзор

Rust-приложение, использующее serde, десериализует недоверенный JSON в перечисление (enum) без проверки того, авторизован ли вызывающий код для данного варианта. Атакующий может внедрить другой вариант перечисления (например, DeleteUser) и вызвать непредусмотренные действия.

Детали уязвимости

Тип: Небезопасная десериализация / путаница типов
Воздействие: выполнение несанкционированных действий.
Корневая причина: приложение не проверяет, соответствует ли десериализованный вариант перечисления ожидаемому ограниченному набору для роли пользователя.

Демонстрация эксплуатации

Скомпилируйте и запустите программу на Rust:

cargo add serde serde_json
rustc serde_vuln.rs
./serde_vuln

Она выполняет вариант DeleteUser без авторизации.

CVE-2026-21012-Rust-serde-Deserialization-of-Untrusted-Enum-Variant-Injection-

Популярное