Newtonsoft JSON.NET Security Vulnerability Implementation

Question

Die kürzlich offengelegten Sicherheitslücken in Bezug auf die Serialisierung in .NET haben mehrdeutige Empfehlungen. Wie kann JSON.NET sicher verwendet werden?

Detaillierte Anleitungen für JSON.NET: https://www.blackhat.com/docs/us-17/thursday/us-17-Munoz-Friday-The-13th-JSON-Attacks-wp.pdf#page=5

Sollte TypeNameHandling.All verwendet werden oder sollte TypeNameHandling.None verwendet werden?

Allgemeine Erklärung: https://www.bleepingcomputer.com/news/security/severe-deserialization-issues-also-affect-net-not-just-java/

Answer 1

Nun scheint die Antwort direkt vor mir ist in den documentation: „Eingehende Typen sollte mit einem benutzerdefinierten SerializationBinder validiert werden, wenn sie mit einem anderen Wert als None Deserialisieren“