XXE（XML外部エンティティ攻撃） とは？

XMLには外部のファイルやURLを「エンティティ」として定義して文書内に埋め込める機能があるんだよ。XXEはその機能を悪用して、サーバー上の秘密ファイルを読み取る攻撃だね。

XMLのDOCTYPE宣言で "<!ENTITY 名前 SYSTEM 'ファイルパスやURL'>" と書くと、パーサーがその内容を読み込んで埋め込んでくれる仕組みだよ。例えば "file:///etc/passwd" と書けばサーバーのパスワードファイルが引き込まれてしまうんだね。

/etc/passwd のようなシステムファイル、アプリの設定ファイル、SSHの秘密鍵などが狙われるよ。さらに "http://内部サーバー/..." のURLを指定すればSSRFとして内部ネットワークへのリクエストにも使えてしまうんだね。

外部エンティティはもともと「文書の再利用」のための便利機能として設計されたんだよ。昔のXMLパーサーはデフォルトで有効にしていたし、今でも設定を変えていないパーサーが多いから脆弱性として残り続けているんだね。

XMLパーサーの外部エンティティ処理を無効化するだけでいいんだよ。Javaなら SAXParser の setFeature で FEATURE_EXTERNAL_GE を false に設定するのが典型的な対策だね。XMLが不要な場面ではJSONに切り替えるのも有効だよ。