XMLをparseするアプリのセキュリティ - 2009-06-21 - T.Teradaの日記

「XML」「セキュリティ」という単語でWeb検索すると、多くヒットするのはXMLデジタル署名やXML暗号などを説明したWebページです。 本日の日記では、それとはちょっと違うテーマ（XXEと呼ばれる攻撃）について書きます。 脆弱なコードと攻撃方法 さっそく脆弱性があるサンプルプログラムです。 import java.io.*; import javax.servlet.*; import javax.servlet.http.*; import org.w3c.dom.*; import org.apache.xerces.parsers.*; import org.xml.sax.*; public class Test1 extends HttpServlet { public void service(HttpServletRequest request, HttpServletRe

[ya--mada]

もともとオープンなシステムを想定してなかったということかな？

[yadokari23]

@kazeburo http://twitter.com/kazeburo/status/83372230247059456

[toton]

XXE（XML eXternal Entity）Attack

[hnw]

へー、そんな仕様があるんだ、というのが正直な感想です。もう僕ちゃんXMLとかわかんないし、データ交換はJSON一本でいく！（嘘です）

[raimon49]

リクエストに外部実体参照

[penalty]

外部実体参照で丸見え

[fuktommy]

処理系での対策の方法がわからないというのは恐い。

[rhosoi]

外部実体参照・・・便利すぎるなこれ

[kits]

XXE（XML eXternal Entity）Attack

[oooooooo]

XXE (Xml eXternal Entity) / <!DOCTYPE str [ <!ENTITY pass SYSTEM "/etc/passwd"> ]>

[hasegawayosuke]

寺田さんかっこいいです！

[tezukam]

XXE（XML eXternal Entity）Attack

[MinazukiBakera]

http://bakera.jp/ebi/topic/3223 の後半の話に関連。あとで。

[IwamotoTakashi]

「もし、parser側に外部実体やDTDを禁止する設定がないならば、アプリケーション側で対策をせざるをえません。これは非常に厄介です。」

[penult]

XMLをパースするアプリケーションで起こりえる脆弱性。RubyであったようなDoS攻撃だけじゃないんですね。。