Injeção de entidade externa XML (XXE, CWE-611): como funciona e como evitar

Conceitos Centrais e Termos

DTD e entidades

Uma Document Type Definition em <!DOCTYPE ...> pode declarar entidades, trechos de texto nomeados que o parser substitui onde aparecer &nome;. Entidades internas guardam texto literal; as externas apontam para outro lugar.

Entidade externa

<!ENTITY x SYSTEM "file:///etc/hostname"> manda o parser ler essa URL e colocar o conteúdo onde &x; for usado. Com URLs http:// quem faz a requisição é o servidor, o que transforma o XXE em falsificação de requisição do lado do servidor.

Expansão de entidades (Billion Laughs)

Entidades que referenciam outras entidades dez vezes seguidas transformam um documento de um kilobyte em gigabytes de texto na memória (CWE-776). Isso não precisa de acesso externo, então só rejeitar DTDs ou limitar a expansão resolve.

Padrões do parser

O comportamento depende da biblioteca: o lxml 5 resolve só entidades internas por padrão, mas resolve_entities=True e load_dtd=True reabrem a brecha; o DocumentBuilderFactory do Java resolve entidades externas a menos que disallow-doctype-decl esteja ativo; e o .NET precisa de DtdProcessing.Prohibit.

defusedxml

Um pacote Python que envolve os parsers padrão e lança EntitiesForbidden, ExternalReferenceForbidden ou DTDForbidden em vez de processar construções perigosas. forbid_dtd=True rejeita qualquer documento com DOCTYPE.

Fluxo de Ataque Passo a Paso

Código-Fonte: Vulnerável vs. Seguro

# invoices.py: o parser segue o que o DTD enviado pedir
from flask import Flask, request
from lxml import etree

app = Flask(__name__)


# entidades resolvidas, DTDs carregados e acesso à rede permitido
@app.post("/invoices/import")
def import_invoice():
    parser = etree.XMLParser(resolve_entities=True, load_dtd=True, no_network=False)
    root = etree.fromstring(request.get_data(), parser)
    return {"customer": root.findtext("customer"), "total": root.findtext("total")}

# invoices.py: documentos com DTD são rejeitados antes do parse
from defusedxml import DefusedXmlException
from defusedxml.ElementTree import ParseError, fromstring
from flask import Flask, abort, request

app = Flask(__name__)
app.config["MAX_CONTENT_LENGTH"] = 1_000_000


# sem DOCTYPE, sem entidades, sem referências externas; corpo limitado a 1 MB
@app.post("/invoices/import")
def import_invoice():
    try:
        root = fromstring(request.get_data(), forbid_dtd=True)
    except (DefusedXmlException, ParseError):
        abort(400)
    return {"customer": root.findtext("customer"), "total": root.findtext("total")}

Lista de Verificação de Segurança para Engenharia

• Faça o parse de XML não confiável com defusedxml em Python, ou com DTDs desativados nas outras linguagens: disallow-doctype-decl como true no Java, DtdProcessing.Prohibit no .NET, libxml2 sem XML_PARSE_NOENT e XML_PARSE_DTDLOAD.
• Nunca passe resolve_entities=True, load_dtd=True ou no_network=False ao lxml para entradas que você não controla, e rode o Bandit (B320 sinaliza lxml.etree) no CI.
• Limite o tamanho da requisição (MAX_CONTENT_LENGTH) e rejeite qualquer documento que contenha DOCTYPE.
• Trate arquivos SVG, SAML, DOCX e XLSX enviados como XML e processe-os com as mesmas configurações reforçadas.
• Adicione um teste no CI que envie um documento com uma entidade externa apontando para file:///etc/hostname e espere 400.

Fontes

• CWE-611: Improper Restriction of XML External Entity Reference
• OWASP XML External Entity Prevention Cheat Sheet
• defusedxml — XML bomb protection for Python stdlib modules
• lxml FAQ — How do I use lxml safely as a web-service endpoint?