Blog｜油断ならない脆弱性 XXEへの対策

XXE（XML External Entity: XML 外部エンティティ参照, XML 外部実体） は、アプリケーションが XML を解析した際に、XML の特殊構文を悪用されて発生する脆弱性です。 この脆弱性は、DoS やディレクトリトラバーサル（パストラバーサル）、SSRF（Server Side Request Forgery / サーバサイドリクエストフォージェリ）、Port Scan（ポートスキャン）といった攻撃にも繋がる脆弱性です。 本記事では XXE の仕組みから対策方法までそれぞれ解説していきます。 XXE の概要XXE は、XML の特殊構文をアプリケーションが解析する際に発生する脆弱性・攻撃です。 XML の構文には、内部リソース・外部（URL）リソースを読み込む構文が存在します。 この構文は「実体参照」と呼ばれ、XML の構文である DTD（Document Typ

[deep_one]

「構造の定義は <!ELEMENT ... > 形式で宣言します。」は？entity宣言だろ。／下の例ではちゃんとentitiy宣言になってるじゃないか。

[nilab]

「XML の構文には、内部リソース・外部（URL）リソースを読み込む構文が存在します。この構文は「実体参照」と呼ばれ、XML の構文である DTD（Document Type Definition）内にて使用します」