Внедрение уязвимости в среде Newtonsoft JSON.NET

Недавно обнаруженные уязвимости безопасности в отношении сериализации в .NET имеют неоднозначные рекомендации. Каков правильный способ безопасного использования JSON.NET?

Подробное руководство для JSON.NET: https://www.blackhat.com/docs/us-17/thursday/us-17-Munoz-Friday-The-13th-JSON-Attacks-wp.pdf#page=5

Должен использоваться TypeNameHandling.All или должен использоваться ТипNameHandling.None?

Общее Объяснение: https://www.bleepingcomputer.com/news/security/severe-deserialization-issues-also-affect-net-not-just-java/

Ответ 1

Ну, кажется, ответ прямо передо мной в документации:

"Входящие типы должны проверяться с помощью настраиваемого SerializationBinder при десериализации со значением, отличным от None".