Внедрение внешних сущностей XML (XXE, CWE-611): как работает и как предотвратить

Ключевые понятия и термины

DTD и сущности

Document Type Definition в <!DOCTYPE ...> может объявлять сущности — именованные фрагменты текста, которые парсер подставляет везде, где встречается &имя;. Внутренние сущности содержат сам текст, внешние указывают куда-то ещё.

Внешняя сущность

<!ENTITY x SYSTEM "file:///etc/hostname"> велит парсеру прочитать этот URL и вставить содержимое туда, где используется &x;. С URL http:// запрос делает сервер, и XXE превращается в подделку запросов на стороне сервера.

Раскрытие сущностей (Billion Laughs)

Сущности, каждая из которых по десять раз ссылается на другие, превращают документ в килобайт в гигабайты текста в памяти (CWE-776). Внешний доступ для этого не нужен, поэтому помогает только отказ от DTD или ограничение раскрытия.

Настройки парсера по умолчанию

Поведение зависит от библиотеки: lxml 5 по умолчанию раскрывает только внутренние сущности, но resolve_entities=True и load_dtd=True снова открывают дыру; DocumentBuilderFactory в Java раскрывает внешние сущности, если не задан disallow-doctype-decl; в .NET нужен DtdProcessing.Prohibit.

defusedxml

Пакет Python, который оборачивает стандартные парсеры и вместо обработки опасных конструкций выбрасывает EntitiesForbidden, ExternalReferenceForbidden или DTDForbidden. forbid_dtd=True отклоняет любой документ с DOCTYPE.

Пошаговый сценарий атаки

Исходный код: Уязвимый vs Защищённый вариант

# invoices.py: парсер выполняет всё, что требует загруженный DTD
from flask import Flask, request
from lxml import etree

app = Flask(__name__)


# сущности раскрываются, DTD загружаются, доступ к сети разрешён
@app.post("/invoices/import")
def import_invoice():
    parser = etree.XMLParser(resolve_entities=True, load_dtd=True, no_network=False)
    root = etree.fromstring(request.get_data(), parser)
    return {"customer": root.findtext("customer"), "total": root.findtext("total")}

# invoices.py: документы с DTD отклоняются до разбора
from defusedxml import DefusedXmlException
from defusedxml.ElementTree import ParseError, fromstring
from flask import Flask, abort, request

app = Flask(__name__)
app.config["MAX_CONTENT_LENGTH"] = 1_000_000


# без DOCTYPE, без сущностей, без внешних ссылок; тело не больше 1 МБ
@app.post("/invoices/import")
def import_invoice():
    try:
        root = fromstring(request.get_data(), forbid_dtd=True)
    except (DefusedXmlException, ParseError):
        abort(400)
    return {"customer": root.findtext("customer"), "total": root.findtext("total")}

Чек-лист по защите системы для инженеров

• Разбирайте недоверенный XML через defusedxml в Python, а в других языках — с отключёнными DTD: в Java disallow-doctype-decl равно true, в .NET DtdProcessing.Prohibit, в libxml2 без XML_PARSE_NOENT и XML_PARSE_DTDLOAD.
• Никогда не передавайте lxml resolve_entities=True, load_dtd=True или no_network=False для чужих данных и запускайте Bandit в CI (B320 отмечает lxml.etree).
• Ограничьте размер запроса (MAX_CONTENT_LENGTH) и отклоняйте любой документ с DOCTYPE.
• Считайте загружаемые файлы SVG, SAML, DOCX и XLSX XML-документами и разбирайте их с теми же усиленными настройками.
• Добавьте в CI тест, который отправляет документ с внешней сущностью на file:///etc/hostname и ожидает 400.

Источники

• CWE-611: Improper Restriction of XML External Entity Reference
• OWASP XML External Entity Prevention Cheat Sheet
• defusedxml — XML bomb protection for Python stdlib modules
• lxml FAQ — How do I use lxml safely as a web-service endpoint?