Zend Framework の XXE 脆弱性対策 (ZF2014-01) と zendframework/ZendXml のススメ - co3k.org

もはや PHP まったく書いてないのに PHP 関係のエントリばかりが増えていくというのは奇妙なものですね。 さて、今年の 2 月に Zend Framework より公開された以下のアドバイザリについては皆様すでにチェック済みのことでしょう。 ZF2014-01: Potential XXE/XEE attacks using PHP functions: simplexml_load_*, DOMDocument::loadXML, and xml_parse http://framework.zend.com/security/advisory/ZF2014-01 僕自身は Zend Framework を使っていなかったので、「あーなんか XXE [1] への対策漏れしている場所とかあったのかなー」とかなんとかでよく読まずにスルーしていたのですが、最近になって調べてみたところどうも

[Dai_Kamijo]

今更な話題で恐縮ですが、今更思い出したので書くと、 PHP の XXE 対策が必要なら ZendXml を使うのがお手軽でオススメです — Kousuke Ebihara (@co3k) February 2, 2018 from Twitter https://twitter.com/Dai_Kamijo February 05, 2018 at 04:43PM via IFTTT

[raimon49]

＞ということで、みなさんも XML をパースする際には是非 zendframework/ZendXml をご活用ください。あるいは XML をご活用するのをおやめください。 / XMLさん……。

[k-holy]

zendframework/ZendXml

[jewel12]

“XXE という脆弱性もマイナーなまま死にゆく運命にあるものですが、有用であることには違いないですしもっと積極的にアピールすればいいのに。”

[co3k]

ブログ書いた