XXE（XML外部エンティティ攻撃） とは？

XMLの外部実体参照を悪用する攻撃だよ。信頼できないXMLをサーバーへ送り、そのXMLを読むパーサーに、文書の外のファイルやURLを参照させようとするんだ。外部参照が許可されているかどうかが重要だよ。

XMLでは、DTDという文書の定義の中で、外にあるデータの場所を示して名前を付け、その名前を文書内から参照できる。パーサーが外部参照を処理すると、外の内容を取り込む場合があるよ。名前を宣言しただけで、どの環境でもファイルが読めるわけではないんだ。

読める範囲は、処理するプログラムの権限やパーサーの対応機能などによるよ。読み取った内容が応答に含まれる場合などには漏えいにつながる。一方、対応するURLを参照させれば、攻撃者が直接届かない内部の場所へサーバーから通信するSSRFになるおそれもあるんだ。

XMLそのものを使うだけでXXEが起きるわけではないよ。パーサーの種類・バージョン・設定や、入力を誰が指定できるかによる。外部参照を許さない標準の設定の実装もあるけれど、使っている処理経路で何が有効かを確かめよう。

不要ならDTDを禁止し、必要な場合も外部実体や外部DTDの読み込みを制限するのが基本だよ。XMLの構造の検証などの別の外部参照も確認する。Javaでも、一つのフラグを変えれば全部の処理が守られるとは限らない。実際に使うAPIの公式設定を適用し、設定が効かないまま処理を続けないことが大切なんだ。