Veracode XML External Entity Reference (XXE)

Question

У меня есть следующий вывод в своем докладе Veracode: Неправильное ограничение XML External Entity Reference ('XXE') (CWE ID 611) со ссылкой на следующий код сильфона

...

>  DocumentBuilderFactory dbf=null;  DocumentBuilder db = null;  try {  dbf=DocumentBuilderFactory.newInstance(); 
>  dbf.setFeature(XMLConstants.FEATURE_SECURE_PROCESSING, true); 
>  dbf.setExpandEntityReferences(false); 
>  dbf.setXIncludeAware(false);  dbf.setValidating(false);  db = 
> dbf.newDocumentBuilder(); 
>  InputStream stream = new ByteArrayInputStream(datosXml.getBytes()); 
>  Document doc = null;   doc= db.parse(stream, ""); 

...

Я исследовал, но я не обнаружил причину этого факта или способ сделать его исчезнуть. Не могли бы вы рассказать мне, как это сделать?

Answer 1

Вы видели the OWASP guide about XXE?

Вы не отключите 3 функции, которые вы должны отключить. Самое главное первое:

dbf.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true); 
dbf.setFeature("http://xml.org/sax/features/external-general-entities", false); 
dbf.setFeature("http://xml.org/sax/features/external-parameter-entities", false);