Inyección de entidades externas XML (XXE, CWE-611): cómo funciona y cómo evitarla

Conceptos Clave y Términos

DTD y entidades

Una Document Type Definition en <!DOCTYPE ...> puede declarar entidades, fragmentos de texto con nombre que el parser sustituye donde aparezca &nombre;. Las entidades internas contienen texto literal; las externas apuntan a otro lugar.

Entidad externa

<!ENTITY x SYSTEM "file:///etc/hostname"> indica al parser que lea esa URL y ponga su contenido donde se use &x;. Con URL http:// quien hace la petición es el servidor, lo que convierte el XXE en falsificación de peticiones del lado del servidor.

Expansión de entidades (Billion Laughs)

Entidades que hacen referencia a otras entidades diez veces seguidas convierten un documento de un kilobyte en gigabytes de texto en memoria (CWE-776). No necesita acceso externo, así que solo lo detiene rechazar los DTD o limitar la expansión.

Valores por defecto del parser

El comportamiento depende de la biblioteca: lxml 5 resuelve por defecto solo entidades internas, pero resolve_entities=True y load_dtd=True vuelven a abrir el agujero; DocumentBuilderFactory de Java resuelve entidades externas salvo que se active disallow-doctype-decl; y .NET necesita DtdProcessing.Prohibit.

defusedxml

Un paquete de Python que envuelve los parsers estándar y lanza EntitiesForbidden, ExternalReferenceForbidden o DTDForbidden en lugar de procesar construcciones peligrosas. forbid_dtd=True rechaza cualquier documento con DOCTYPE.

Flujo de Ataque Paso a Paso

Código Fuente: Vulnerable vs. Seguro

# invoices.py: el parser sigue lo que pida el DTD subido
from flask import Flask, request
from lxml import etree

app = Flask(__name__)


# entidades resueltas, DTD cargados y acceso a red permitido
@app.post("/invoices/import")
def import_invoice():
    parser = etree.XMLParser(resolve_entities=True, load_dtd=True, no_network=False)
    root = etree.fromstring(request.get_data(), parser)
    return {"customer": root.findtext("customer"), "total": root.findtext("total")}

# invoices.py: los documentos con DTD se rechazan antes de analizarlos
from defusedxml import DefusedXmlException
from defusedxml.ElementTree import ParseError, fromstring
from flask import Flask, abort, request

app = Flask(__name__)
app.config["MAX_CONTENT_LENGTH"] = 1_000_000


# sin DOCTYPE, sin entidades, sin referencias externas; cuerpo limitado a 1 MB
@app.post("/invoices/import")
def import_invoice():
    try:
        root = fromstring(request.get_data(), forbid_dtd=True)
    except (DefusedXmlException, ParseError):
        abort(400)
    return {"customer": root.findtext("customer"), "total": root.findtext("total")}

Lista de Verificación de Seguridad para Ingeniería

• Analiza XML no confiable con defusedxml en Python, o con los DTD desactivados en otros lenguajes: disallow-doctype-decl a true en Java, DtdProcessing.Prohibit en .NET, libxml2 sin XML_PARSE_NOENT ni XML_PARSE_DTDLOAD.
• No pases nunca resolve_entities=True, load_dtd=True ni no_network=False a lxml con entradas que no controlas, y ejecuta Bandit (B320 señala lxml.etree) en CI.
• Limita el tamaño de la petición (MAX_CONTENT_LENGTH) y rechaza cualquier documento que contenga un DOCTYPE.
• Trata los archivos SVG, SAML, DOCX y XLSX subidos como XML y analízalos con los mismos ajustes reforzados.
• Añade una prueba en CI que envíe un documento con una entidad externa que apunte a file:///etc/hostname y espere 400.

Fuentes

• CWE-611: Improper Restriction of XML External Entity Reference
• OWASP XML External Entity Prevention Cheat Sheet
• defusedxml — XML bomb protection for Python stdlib modules
• lxml FAQ — How do I use lxml safely as a web-service endpoint?