V5.5.2 Deserialization Prevention

Requirement:

Verify that the application correctly restricts XML parsers to only use the most restrictive configuration possible and to ensure that unsafe features such as resolving external entities are disabled to prevent XML eXternal Entity (XXE) attacks.

Explanation:

XML-документы при необходимости содержат определение типа документа (DTD), которое, помимо других функций, позволяет определять XML-сущности. Можно определить сущность, предоставив строку подстановки в виде универсального кода ресурса (URI). Средство синтаксического анализа XML может получить доступ к содержимому этого URI и внедрить это содержимое обратно в XML-документ для дальнейшей обработки.

Отправляя XML-файл, определяющий внешнюю сущность с file:// URI, злоумышленник может заставить приложение обработки прочитать содержимое локального файла. Например, универсальный код ресурса (URI), такой как "file:///c:/winnt/win.ini", обозначает (в Windows) файл C:\Winnt\win.ini или file:///etc/passwd обозначает файл паролей в системах unix. Используя универсальные коды ресурса (URI) с другими схемами, такими как http://, злоумышленник может заставить приложение делать исходящие запросы к серверам, к которым злоумышленник не может получить прямой доступ, что может быть использовано для обхода ограничений брандмауэра или сокрытия источника атак, таких как сканирование портов.

После считывания содержимого универсального кода ресурса (URI) оно передается обратно в приложение, обрабатывающее XML-код. Это приложение может повторять данные (например, в сообщении об ошибке), тем самым раскрывая содержимое файла.

Remediation:

Чтобы предотвратить атаки XML eXternal Entity (XXE), необходимо предпринять следующие шаги:

• Используйте максимально ограничительную конфигурацию анализатора XML: анализатор XML должен быть настроен так, чтобы разрешать только минимальный набор функций, необходимых для его предполагаемого использования, а все ненужные функции должны быть отключены.
• Отключите небезопасные функции. Небезопасные функции, такие как разрешение внешних сущностей, должны быть отключены, чтобы предотвратить атаки XXE.
• Проверка пользовательского ввода: ввод должен быть проверен и отфильтрован, чтобы гарантировать, что он содержит только ожидаемые значения и символы. Это может помочь предотвратить внедрение злоумышленниками вредоносного содержимого в XML-документ.
• Используйте безопасный синтаксический анализатор XML: используйте проверенный и безопасный синтаксический анализатор XML. Избегайте использования синтаксических анализаторов XML с известными уязвимостями.
• Использовать проверку на стороне сервера: по возможности выполняйте проверку на стороне сервера, чтобы убедиться, что обрабатываемые данные не являются вредоносными.
• Используйте шифрование: если конфиденциальные данные передаются как часть XML-документа, они должны быть зашифрованы для предотвращения несанкционированного доступа.

Вот пример того, как предотвратить атаки XXE в Java с помощью библиотеки javax.xml.parsers.SAXParser:

Предотвращение XXE

import javax.xml.parsers.SAXParser;

import javax.xml.parsers.SAXParserFactory;

public class XXEPreventionExample {

public static void main(String[] args) {

try {

SAXParserFactory saxParserFactory = SAXParserFactory.newInstance();

saxParserFactory.setFeature("http://xml.org/sax/features/external-general-entities", false);

saxParserFactory.setFeature("http://xml.org/sax/features/external-parameter-entities", false);

saxParserFactory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);

SAXParser saxParser = saxParserFactory.newSAXParser();

// use the saxParser to parse the XML data

} catch (Exception e) {

System.out.println("Error occurred while preventing XXE: " + e.getMessage());

}

}

}

Этот код создает экземпляр SAXParserFactory и отключает внешние объекты, объекты внешних параметров и объявление DOCTYPE в конфигурации парсера. Это гарантирует, что любая попытка включения внешних объектов в XML-документ будет предотвращена, что снижает риск XXE-атак.

Additional:

CWE - CWE-611: Неправильное ограничение ссылки на внешние сущности XML (4.9) (mitre.org)