Veracode XML外部实体参考（XXE）

Question

我在veracode报告中得到了下一个发现：XML外部实体引用（’XXE’）（CWE ID 611）的不当限制引用了下面的代码

…

  DocumentBuilderFactory dbf=null;      
  DocumentBuilder db = null;    
  try {         
        dbf=DocumentBuilderFactory.newInstance();  
        dbf.setFeature(XMLConstants.FEATURE_SECURE_PROCESSING, true); 
        dbf.setExpandEntityReferences(false); 
        dbf.setXIncludeAware(false);        
        dbf.setValidating(false); 
        dbf.newDocumentBuilder();   
        InputStream stream = new ByteArrayInputStream(datosXml.getBytes());
        Document doc = db.parse(stream, "");

…

我一直在研究，但是我还没有找到这个发现的原因或使它消失的方法。你能告诉我怎么做吗？

Answer 1

您是否看到过有关XXE的OWASP指南？

您没有禁用应禁用的3个功能。最重要的是第一个：

dbf.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
dbf.setFeature("http://xml.org/sax/features/external-general-entities", false);
dbf.setFeature("http://xml.org/sax/features/external-parameter-entities", false);