变压器工厂对 XML EER 的不当限制

Question

获取Veracode漏洞“对”变压器工厂“的XML外部实体引用限制不当，对此有几种解决方案，我发现最相关的是：解决方案。但是在尝试了这些解决方案之后，它们都没有奏效。下面是代码：

import net.sf.saxon.TransformerFactoryImpl;
.....
 TransformerFactory genericFactory = TransformerFactoryImpl.newInstance();
 genericFactory.setFeature("http://javax.xml.XMLConstants/property/accessExternalDTD", false);  
 genericFactory.setFeature(Constants.FEATURE_SECURE_PROCESSING,true);

错误是：

javax.xml.transform.TransformerConfigurationException: Unsupported TransformerFactory feature: http://javax.xml.XMLConstants/property/accessExternalDTD

目前我在Java8上运行应用程序，相关jar有：saxon9. jar，xalan-2.7.2.jar

我尝试了几种组合，比如：

//1
 TransformerFactory genericFactory = javax.xml.transform.TransformerFactory.newInstance();
 genericFactory.setFeature("http://javax.xml.XMLConstants/property/accessExternalDTD", false);  
//2
 TransformerFactory genericFactory = com.sun.org.apache.xalan.internal.xsltc.trax.TransformerFactoryImpl.newInstance();
 genericFactory.setFeature("http://javax.xml.XMLConstants/property/accessExternalDTD", false);

但是得到同样的错误。如何解决此错误？

Answer 1

根据OWASP在描述如何防止XML外部实体注入（XXE）时的说法，当使用Java和TransformerFactory时，推荐的方法如下：

TransformerFactory tf = TransformerFactory.newInstance();
tf.setAttribute(XMLConstants.ACCESS_EXTERNAL_DTD, "");
tf.setAttribute(XMLConstants.ACCESS_EXTERNAL_STYLESHEET, "");

请注意，它们配置的是属性，而不是功能。

请考虑查看为< code>TransformerFactory中的< code>setAttribute方法提供的文档，我认为它会有所帮助:

对源文件中的外部 DTD 的访问仅限于 XMLConstants.ACCESS_EXTERNAL_DTD 属性指定的协议。如果在转换期间由于此属性的限制而拒绝访问，则 Transformer.transform（Source， Result） 将引发 TransformerException。

对样式表中外部 DTD 的访问仅限于 XMLConstants.ACCESS_EXTERNAL_DTD 属性指定的协议。如果在创建新转换器期间由于此属性的限制而拒绝访问，则 newTransformer（Source） 方法将引发 TransformerConfigurationException。

通过样式表处理指令对外部引用集的访问，导入和包含元素被限制为XMLConant.ACCESS_EXTERNAL_STYLESHEET属性指定的协议。如果在创建新转换器期间由于该属性的限制而拒绝访问，TransformerConfigurationException将由newTransform（Source）方法抛出。