プログラミング

PROGRAMMING

公開：2024-08-31

MicrosoftがBinaryFormatterを.NET 9から完全削除、セキュリティリスク対策で代替手段への移行を推奨

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• BinaryFormatterが.NET 9から削除
• セキュリティリスクによる実装の完全削除
• 代替オプションの提供と移行ガイドの公開

BinaryFormatterの削除と.NET 9の変更点

Microsoftは.NET 9からBinaryFormatterの実装を完全に削除することを2024年8月28日に発表した。この変更により、BinaryFormatterのAPIは存在するものの、その実装は常に例外をスローするようになり、プロジェクトタイプに関係なく使用不可能となっている。既存の後方互換性フラグを設定しても、BinaryFormatterを使用することはできなくなったのだ。^[1]

この変更の主な理由は、BinaryFormatterに関連するセキュリティリスクである。特に、入力が作成されるオブジェクトに関する情報を含むことを許可する任意のデシリアライザは、セキュリティ上の問題を引き起こす可能性がある。MicrosoftはCWE-502「信頼できないデータのデシリアライゼーション」として知られる一般的な脆弱性を指摘し、BinaryFormatterの使用停止を強く推奨している。

Microsoftは、この変更に対応するために2つのオプションを提供している。1つ目は、BinaryFormatterからの移行を進めることで、セキュリティリスクを回避するために強く推奨されている。2つ目は、.NET 9でもBinaryFormatterを使用し続ける必要がある場合、サポートされていないSystem.Runtime.Serialization.FormattersのNuGetパッケージに依存することである。このパッケージは、安全でないレガシー機能を復元し、例外をスローする実装を置き換えるものだ。

BinaryFormatter削除の影響と対応策まとめ

デシリアライザについて

デシリアライザとは、シリアル化されたデータを元のオブジェクト構造に戻すプロセスを実行するコンポーネントのことを指しており、主な特徴として以下のような点が挙げられる。

• バイナリや文字列形式のデータを元のオブジェクトに変換
• ネットワーク転送やファイル保存されたデータの復元に使用
• 型情報や構造情報を含むデータの解析と再構築を行う

BinaryFormatterは.NET Frameworkの初期リリース時から提供されているデシリアライザの一つだ。しかし、その設計上、入力データに含まれるオブジェクト情報に基づいて任意のコードを実行する可能性があり、これがセキュリティリスクとなっている。そのため、MicrosoftはBinaryFormatterの使用を避け、より安全な代替手段への移行を強く推奨しているのだ。

BinaryFormatterの削除に関する考察

MicrosoftによるBinaryFormatterの削除は、.NETエコシステム全体のセキュリティ向上という点で評価できる。特に、長年指摘されてきた信頼できないデータのデシリアライゼーションによる脆弱性に対して、根本的な解決策を提示したことは重要だ。一方で、この変更によって既存のアプリケーションやライブラリに大きな影響が出る可能性があり、移行に伴う開発者の負担増加は避けられないだろう。

今後の課題として、BinaryFormatterに依存している大規模なレガシーシステムの移行が挙げられる。特に、長期間メンテナンスされていないプロジェクトや、ソースコードが失われたバイナリのみが存在する場合、移行は非常に困難になる可能性がある。この問題に対して、Microsoftはより詳細な移行ガイドやツールの提供、さらには自動化された移行支援機能の開発を検討すべきだろう。

新しいシリアライゼーション方式への移行を促進するためには、パフォーマンスや使いやすさの面で既存のBinaryFormatterを上回る代替手段の開発が求められる。また、クロスプラットフォーム対応や、異なるバージョン間での互換性維持など、現代のソフトウェア開発のニーズに合わせた機能の拡充も必要だ。Microsoftには、これらの課題に対する継続的なサポートと、コミュニティとの密接な協力が期待される。

参考サイト

1. ^ Microsoft Visual Studio. 「BinaryFormatter removed from .NET 9 - .NET Blog」. https://devblogs.microsoft.com/dotnet/binaryformatter-removed-from-dotnet-9/, (参照 24-08-31).
2. Microsoft. https://www.microsoft.com/ja-jp

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「プログラミング」に関するコラム一覧「プログラミング」に関するニュース一覧