Injection d'entité externe XML (XXE, CWE-611) : fonctionnement et prévention

Concepts Clés et Termes

DTD et entités

Une Document Type Definition dans <!DOCTYPE ...> peut déclarer des entités, des morceaux de texte nommés que le parseur substitue partout où &nom; apparaît. Les entités internes contiennent du texte littéral ; les externes pointent ailleurs.

Entité externe

<!ENTITY x SYSTEM "file:///etc/hostname"> demande au parseur de lire cette URL et de placer son contenu là où &x; est utilisé. Avec des URL http://, c'est le serveur qui fait la requête, ce qui transforme le XXE en falsification de requête côté serveur.

Expansion d'entités (Billion Laughs)

Des entités qui référencent d'autres entités dix fois de suite font passer un document d'un kilo-octet à des gigaoctets de texte en mémoire (CWE-776). Aucun accès externe n'est nécessaire, donc seuls le refus des DTD ou le plafonnement de l'expansion l'arrêtent.

Réglages par défaut du parseur

Le comportement dépend de la bibliothèque : lxml 5 ne résout par défaut que les entités internes, mais resolve_entities=True et load_dtd=True rouvrent la faille ; DocumentBuilderFactory en Java résout les entités externes sauf si disallow-doctype-decl est activé ; et .NET exige DtdProcessing.Prohibit.

defusedxml

Un paquet Python qui enveloppe les parseurs standard et lève EntitiesForbidden, ExternalReferenceForbidden ou DTDForbidden au lieu de traiter les constructions dangereuses. forbid_dtd=True refuse tout document contenant un DOCTYPE.

Déroulement de l'Attaque Étape par Étape

Code Source : Vulnérable vs Sécurisé

# invoices.py : le parseur suit tout ce que demande la DTD envoyée
from flask import Flask, request
from lxml import etree

app = Flask(__name__)


# entités résolues, DTD chargées et accès réseau autorisé
@app.post("/invoices/import")
def import_invoice():
    parser = etree.XMLParser(resolve_entities=True, load_dtd=True, no_network=False)
    root = etree.fromstring(request.get_data(), parser)
    return {"customer": root.findtext("customer"), "total": root.findtext("total")}

# invoices.py : les documents avec DTD sont refusés avant l'analyse
from defusedxml import DefusedXmlException
from defusedxml.ElementTree import ParseError, fromstring
from flask import Flask, abort, request

app = Flask(__name__)
app.config["MAX_CONTENT_LENGTH"] = 1_000_000


# ni DOCTYPE, ni entités, ni références externes ; corps plafonné à 1 Mo
@app.post("/invoices/import")
def import_invoice():
    try:
        root = fromstring(request.get_data(), forbid_dtd=True)
    except (DefusedXmlException, ParseError):
        abort(400)
    return {"customer": root.findtext("customer"), "total": root.findtext("total")}

Liste de Contrôle de Sécurité pour l'Ingénierie

• Analysez le XML non fiable avec defusedxml en Python, ou avec les DTD désactivées ailleurs : disallow-doctype-decl à true en Java, DtdProcessing.Prohibit en .NET, libxml2 sans XML_PARSE_NOENT ni XML_PARSE_DTDLOAD.
• Ne passez jamais resolve_entities=True, load_dtd=True ou no_network=False à lxml pour des entrées que vous ne contrôlez pas, et exécutez Bandit (B320 signale lxml.etree) en CI.
• Plafonnez la taille des requêtes (MAX_CONTENT_LENGTH) et refusez tout document contenant un DOCTYPE.
• Traitez les fichiers SVG, SAML, DOCX et XLSX envoyés comme du XML et analysez-les avec les mêmes réglages durcis.
• Ajoutez un test CI qui envoie un document avec une entité externe pointant vers file:///etc/hostname et attend 400.

Sources

• CWE-611: Improper Restriction of XML External Entity Reference
• OWASP XML External Entity Prevention Cheat Sheet
• defusedxml — XML bomb protection for Python stdlib modules
• lxml FAQ — How do I use lxml safely as a web-service endpoint?