SV.XXE.XIF

XML 外部エンティティ攻撃の可能性

このエラーは、脆弱に構成された XML パーサーである XMLInputFactory によって XML 入力が処理されるときに発生します。

脆弱性とリスク

XML 外部エンティティ攻撃は、XML 入力を解析するアプリケーションに対する一種の攻撃です。この攻撃は、外部エンティティへの参照を含む XML 入力が、脆弱に構成された XML パーサーによって処理されるときに発生します。この攻撃により、機密データの開示、サービスの拒否、サーバー側のリクエスト偽造、パーサーが配置されているマシンの視点からのポートスキャン、またはその他のシステムへの影響が発生する可能性があります。

軽減と防止

XML 外部エンティティ攻撃を防ぐ最も安全な方法は、常に DTD (外部エンティティ) を完全に無効にすることです。パーサーによっては、メソッドが異なる場合があります。

脆弱コード例

コピー

1
2
3
4
5
6
7
8
9
   import javax.xml.stream.*;
   import java.io.InputStream;
   
   public class Test {
       public void test(InputStream stream) throws XMLStreamException {
           final XMLInputFactory factory = XMLInputFactory.newInstance();
           factory.createXMLStreamReader(stream);
       }    
   }

この例では、Klocwork は 6 行目で SV.XXE.XIF エラーを報告します。これは、脆弱に構成された XML パーサー「XMLInputFactory」によって XML 入力が処理されることを示しています。

修正コード例

コピー

1
2
3
4
5
6
7
8
9
10
11
   import javax.xml.stream.*;
   import java.io.InputStream;
   
   public class Test {
       public void test(InputStream stream) throws XMLStreamException {
           final XMLInputFactory factory = XMLInputFactory.newInstance();
           factory.setProperty("javax.xml.stream.supportDTD", false);
           factory.setProperty("javax.xml.stream.isSupportingExternalEntities", false);
           factory.createXMLStreamReader(stream);
      }    
  }

外部参考資料

セキュリティトレーニング

Secure Code Warrior が提供しているアプリケーションセキュリティトレーニング教材。

「Xml External Entity Injection (XML 外部エンティティインジェクション)」トレーニングビデオ - トレーニングサンプルを使用して自分のスキルをテストできます