Java デシリアライズ脆弱性の仕組みと対策を実装例で詳しく解説

import java.io.*;

public class DeserializationSecurityDemo {

    // シリアライズ対象の安全なクラス
    static class SafeData implements Serializable {
        private static final long serialVersionUID = 1L;
        private final String value;

        SafeData(String value) {
            this.value = value;
        }

        @Override
        public String toString() {
            return "SafeData{value='" + value + "'}";
        }
    }

    public static void main(String[] args) throws Exception {
        var original = new SafeData("テストデータ");

        // シリアライズ
        byte[] bytes;
        try (var baos = new ByteArrayOutputStream();
             var oos = new ObjectOutputStream(baos)) {
            oos.writeObject(original);
            bytes = baos.toByteArray();
        }

        // Java 9+: ObjectInputFilter でホワイトリスト設定
        // 許可するクラスを明示し、それ以外は !* で全拒否
        String allowedClass =
                DeserializationSecurityDemo.class.getName() + "$SafeData";
        String filterPattern = allowedClass + ";java.lang.*;!*";
        ObjectInputFilter filter =
                ObjectInputFilter.Config.createFilter(filterPattern);

        try (var bais = new ByteArrayInputStream(bytes);
             var ois = new ObjectInputStream(bais)) {
            ois.setObjectInputFilter(filter);
            Object obj = ois.readObject();
            System.out.println("安全なデシリアライズ成功: " + obj);
        }

        // maxdepth / maxarray で構造も制限可能
        String strictPattern = allowedClass
                + ";java.lang.*;maxdepth=5;maxarray=100;!*";
        ObjectInputFilter strictFilter =
                ObjectInputFilter.Config.createFilter(strictPattern);
        System.out.println("厳格フィルター: " + strictPattern);

        try (var bais = new ByteArrayInputStream(bytes);
             var ois = new ObjectInputStream(bais)) {
            ois.setObjectInputFilter(strictFilter);
            Object obj = ois.readObject();
            System.out.println("厳格フィルターでも成功: " + obj);
        }
    }
}