flawopen.com/XXE/Java XML 파서 보안

Java XXE: DocumentBuilderFactory는 기본적으로 안전한가요?

DocumentBuilderFactory factory =
    DocumentBuilderFactory.newInstance();
DocumentBuilder builder =
    factory.newDocumentBuilder();
Document document = builder.parse(untrustedXml);

// Java 9+: JAXP 제한을 명시적으로 활성화합니다.
// 필수 설정을 지원하지 않으면 안전하게 중단합니다.
// 파서는 기본적으로 외부 접근을 허용할 수 있습니다.

DocumentBuilderFactory factory =
    DocumentBuilderFactory.newDefaultInstance();

// 실제 파일이나 서비스로 테스트하지 마세요.
factory.setFeature(
    XMLConstants.FEATURE_SECURE_PROCESSING, true);
factory.setFeature(
    "http://apache.org/xml/features/"
    + "disallow-doctype-decl", true);
factory.setAttribute(
    XMLConstants.ACCESS_EXTERNAL_DTD, "");
factory.setXIncludeAware(false);

// 크기 제한은 별도로 적용합니다.
DocumentBuilder builder = factory.newDocumentBuilder();
Document document = builder.parse(untrustedXml);

DOCTYPE 거부가 권장되는 DOM 제어인 이유

파서가 지원하면 DOCTYPE 거부로 DTD에 정의된 외부 엔티티와 선언 처리를 막을 수 있습니다. FEATURE_SECURE_PROCESSING을 명시적으로 켜고 외부 DTD 접근도 제한하세요. JDK에서 FSP가 기본 활성화되어도 외부 연결이 차단된다는 뜻은 아닙니다. 필요하지 않으면 XInclude를 끄세요. 필수 설정을 Provider가 지원하지 않으면 부분 강화 상태로 계속하지 말고 파서 초기화를 실패 처리하세요.

DTD가 필요해도 외부 접근을 허용하지 마세요. 외부 일반/매개변수 엔티티와 외부 DTD 로딩을 끄고 ACCESS_EXTERNAL_DTD를 빈 문자열로 설정하며 처리 제한을 유지하세요. setExpandEntityReferences(false)는 트리 표현을 바꿀 뿐 외부 리소스 차단을 대신하지 않습니다.

각 JAXP 프로세서를 별도로 강화하세요

같은 정책은 XML 처리 전반에 적용되지만 API별 설정이 다릅니다. SAXParserFactory/XMLReader, StAX XMLInputFactory, TransformerFactory, SchemaFactory, Validator, JAXB를 확인하세요. StAX는 FEATURE_SECURE_PROCESSING을 지원하지 않으므로 자체 속성으로 DTD와 외부 엔티티를 끄세요. 외부 스키마와 스타일시트도 제한하고 OWASP의 API별 예시 및 실제 Provider를 확인하세요.

단일 파서 설정을 JVM 전체 보호로 보면 안 됩니다. JAXP Provider 검색 결과가 JDK 내장 파서와 다를 수 있고 복합 프로세서는 내부 파서를 만들 수 있습니다. 운영에서 쓰는 runtime, Provider, 코드 경로를 테스트하세요.

자주 묻는 질문

출처 및 참고자료

• Oracle — JAXP Security Guide
• OWASP — XML External Entity Prevention Cheat Sheet
• Oracle — DocumentBuilderFactory API
• CWE-611 — Improper Restriction of XML External Entity Reference
• Python XXE 가이드
• .NET XXE 가이드