XML 外部エンティティ

critical Web App Scanning プラグイン ID 98113

Language:

概要

XML 外部エンティティ

説明

XML 外部エンティティ攻撃は、XML 入力を解析するアプリケーションに対する攻撃の一種です。

この攻撃は、外部エンティティへの参照を含む XML 入力が、脆弱に構成された XML パーサーにより処理される場合に発生します。

この攻撃により、機密データの漏洩、サービス拒否、パーサーが配置されているマシンのパースペクティブからのポートスキャン、およびその他のシステム影響をもたらす可能性があります。

ソリューション

XML ドキュメント全体が信頼できないクライアントから通信されるため、通常、DTD のシステム識別子内の汚染されたデータを選択的に検証またはエスケープすることはできません。
したがって、XML プロセッサは、ローカルの静的 DTD を使用し、XML ドキュメントに含まれる宣言された DTD を許可しないように構成する必要があります。