Técnica de codificación segura: procesamiento de datos XML, parte 1
El lenguaje de marcado extensible (XML) es un lenguaje de marcado que se utiliza para codificar documentos en un formato fácil de manejar para las máquinas y legible por humanos. Sin embargo, este formato de uso común incluye varios fallos de seguridad. En esta primera entrada de blog relacionada con XML, explicaré los aspectos básicos del manejo seguro de documentos XML mediante el uso de un esquema.
OWASP divide las diferentes vulnerabilidades relacionadas con los esquemas XML y XML en dos categorías.
Documentos XML con formato incorrecto
Los documentos XML mal formados son documentos que no siguen las especificaciones XML del W3C. Algunos ejemplos que dan como resultado un documento con formato incorrecto son la eliminación de una etiqueta final, el cambio del orden de los diferentes elementos o el uso de caracteres prohibidos. Todos estos errores deberían provocar un error fatal y el documento no debería someterse a ningún procesamiento adicional.
Para evitar las vulnerabilidades causadas por documentos con formato incorrecto, debe utilizar un analizador XML bien probado que siga las especificaciones del W3C y que no tarde mucho más en procesar los documentos con formato incorrecto.
Documentos XML no válidos
Los documentos XML no válidos están bien formados pero contienen valores inesperados. En este caso, un atacante puede aprovechar las aplicaciones que no definen correctamente un esquema XML para identificar si los documentos son válidos. A continuación encontrará un ejemplo sencillo de un documento que, si no se valida correctamente, podría tener consecuencias imprevistas.
Una tienda web que almacena sus transacciones en datos XML:
<purchase></purchase>
<id>123</id>
<price>200</price>
Y el usuario solo tiene control sobre el <id>valor. Entonces es posible, sin las contramedidas adecuadas, que un atacante introduzca algo como esto:</id>
<purchase></purchase>
<id>123</id>
<price>0</price>
<id></id>
<price>200</price>
Si el analizador que procesa este documento solo lee la primera instancia de las <id><price>etiquetas y, esto generará resultados no deseados</price></id>.
También es posible que el esquema no sea lo suficientemente restrictivo o que otra validación de entrada sea insuficiente, de modo que se puedan introducir números negativos, decimales especiales (como NaN o Infinity) o valores extremadamente grandes donde no se esperan, lo que lleva a un comportamiento no deseado similar.
Para evitar las vulnerabilidades relacionadas con los documentos XML no válidos, se debe definir un esquema XML preciso y restrictivo para evitar problemas de validación de datos incorrecta.
En la próxima entrada del blog abordaremos algunos ataques más avanzados a documentos XML, como Jumbo Payloads y el temido número cuatro de OWASP Top Ten, XXE.
Mientras tanto, puede perfeccionar o poner a prueba sus habilidades en la validación de entradas XML. en nuestro portal.
Las especificaciones para XML y los esquemas XML incluyen varios fallos de seguridad. Al mismo tiempo, estas especificaciones proporcionan las herramientas necesarias para proteger las aplicaciones XML. Aunque utilizamos esquemas XML para definir la seguridad de los documentos XML, pueden usarse para realizar diversos ataques: recuperación de archivos, falsificación de solicitudes del servidor, escaneo de puertos o uso de fuerza bruta.
Las especificaciones para XML y los esquemas XML incluyen varios fallos de seguridad. Al mismo tiempo, estas especificaciones proporcionan las herramientas necesarias para proteger las aplicaciones XML. Aunque utilizamos esquemas XML para definir la seguridad de los documentos XML, pueden usarse para realizar diversos ataques.
Application Security Researcher - R&D Engineer - PhD Candidate
Secure Code Warrior está aquí para que su organización le ayude a proteger el código durante todo el ciclo de vida del desarrollo de software y a crear una cultura en la que la ciberseguridad sea una prioridad. Ya sea administrador de AppSec, desarrollador, CISO o cualquier persona relacionada con la seguridad, podemos ayudar a su organización a reducir los riesgos asociados con el código inseguro.
Reserva una demostración
Application Security Researcher - R&D Engineer - PhD Candidate
El lenguaje de marcado extensible (XML) es un lenguaje de marcado que se utiliza para codificar documentos en un formato fácil de manejar para las máquinas y legible por humanos. Sin embargo, este formato de uso común incluye varios fallos de seguridad. En esta primera entrada de blog relacionada con XML, explicaré los aspectos básicos del manejo seguro de documentos XML mediante el uso de un esquema.
OWASP divide las diferentes vulnerabilidades relacionadas con los esquemas XML y XML en dos categorías.
Documentos XML con formato incorrecto
Los documentos XML mal formados son documentos que no siguen las especificaciones XML del W3C. Algunos ejemplos que dan como resultado un documento con formato incorrecto son la eliminación de una etiqueta final, el cambio del orden de los diferentes elementos o el uso de caracteres prohibidos. Todos estos errores deberían provocar un error fatal y el documento no debería someterse a ningún procesamiento adicional.
Para evitar las vulnerabilidades causadas por documentos con formato incorrecto, debe utilizar un analizador XML bien probado que siga las especificaciones del W3C y que no tarde mucho más en procesar los documentos con formato incorrecto.
Documentos XML no válidos
Los documentos XML no válidos están bien formados pero contienen valores inesperados. En este caso, un atacante puede aprovechar las aplicaciones que no definen correctamente un esquema XML para identificar si los documentos son válidos. A continuación encontrará un ejemplo sencillo de un documento que, si no se valida correctamente, podría tener consecuencias imprevistas.
Una tienda web que almacena sus transacciones en datos XML:
<purchase></purchase>
<id>123</id>
<price>200</price>
Y el usuario solo tiene control sobre el <id>valor. Entonces es posible, sin las contramedidas adecuadas, que un atacante introduzca algo como esto:</id>
<purchase></purchase>
<id>123</id>
<price>0</price>
<id></id>
<price>200</price>
Si el analizador que procesa este documento solo lee la primera instancia de las <id><price>etiquetas y, esto generará resultados no deseados</price></id>.
También es posible que el esquema no sea lo suficientemente restrictivo o que otra validación de entrada sea insuficiente, de modo que se puedan introducir números negativos, decimales especiales (como NaN o Infinity) o valores extremadamente grandes donde no se esperan, lo que lleva a un comportamiento no deseado similar.
Para evitar las vulnerabilidades relacionadas con los documentos XML no válidos, se debe definir un esquema XML preciso y restrictivo para evitar problemas de validación de datos incorrecta.
En la próxima entrada del blog abordaremos algunos ataques más avanzados a documentos XML, como Jumbo Payloads y el temido número cuatro de OWASP Top Ten, XXE.
Mientras tanto, puede perfeccionar o poner a prueba sus habilidades en la validación de entradas XML. en nuestro portal.
Las especificaciones para XML y los esquemas XML incluyen varios fallos de seguridad. Al mismo tiempo, estas especificaciones proporcionan las herramientas necesarias para proteger las aplicaciones XML. Aunque utilizamos esquemas XML para definir la seguridad de los documentos XML, pueden usarse para realizar diversos ataques: recuperación de archivos, falsificación de solicitudes del servidor, escaneo de puertos o uso de fuerza bruta.
El lenguaje de marcado extensible (XML) es un lenguaje de marcado que se utiliza para codificar documentos en un formato fácil de manejar para las máquinas y legible por humanos. Sin embargo, este formato de uso común incluye varios fallos de seguridad. En esta primera entrada de blog relacionada con XML, explicaré los aspectos básicos del manejo seguro de documentos XML mediante el uso de un esquema.
OWASP divide las diferentes vulnerabilidades relacionadas con los esquemas XML y XML en dos categorías.
Documentos XML con formato incorrecto
Los documentos XML mal formados son documentos que no siguen las especificaciones XML del W3C. Algunos ejemplos que dan como resultado un documento con formato incorrecto son la eliminación de una etiqueta final, el cambio del orden de los diferentes elementos o el uso de caracteres prohibidos. Todos estos errores deberían provocar un error fatal y el documento no debería someterse a ningún procesamiento adicional.
Para evitar las vulnerabilidades causadas por documentos con formato incorrecto, debe utilizar un analizador XML bien probado que siga las especificaciones del W3C y que no tarde mucho más en procesar los documentos con formato incorrecto.
Documentos XML no válidos
Los documentos XML no válidos están bien formados pero contienen valores inesperados. En este caso, un atacante puede aprovechar las aplicaciones que no definen correctamente un esquema XML para identificar si los documentos son válidos. A continuación encontrará un ejemplo sencillo de un documento que, si no se valida correctamente, podría tener consecuencias imprevistas.
Una tienda web que almacena sus transacciones en datos XML:
<purchase></purchase>
<id>123</id>
<price>200</price>
Y el usuario solo tiene control sobre el <id>valor. Entonces es posible, sin las contramedidas adecuadas, que un atacante introduzca algo como esto:</id>
<purchase></purchase>
<id>123</id>
<price>0</price>
<id></id>
<price>200</price>
Si el analizador que procesa este documento solo lee la primera instancia de las <id><price>etiquetas y, esto generará resultados no deseados</price></id>.
También es posible que el esquema no sea lo suficientemente restrictivo o que otra validación de entrada sea insuficiente, de modo que se puedan introducir números negativos, decimales especiales (como NaN o Infinity) o valores extremadamente grandes donde no se esperan, lo que lleva a un comportamiento no deseado similar.
Para evitar las vulnerabilidades relacionadas con los documentos XML no válidos, se debe definir un esquema XML preciso y restrictivo para evitar problemas de validación de datos incorrecta.
En la próxima entrada del blog abordaremos algunos ataques más avanzados a documentos XML, como Jumbo Payloads y el temido número cuatro de OWASP Top Ten, XXE.
Mientras tanto, puede perfeccionar o poner a prueba sus habilidades en la validación de entradas XML. en nuestro portal.
Las especificaciones para XML y los esquemas XML incluyen varios fallos de seguridad. Al mismo tiempo, estas especificaciones proporcionan las herramientas necesarias para proteger las aplicaciones XML. Aunque utilizamos esquemas XML para definir la seguridad de los documentos XML, pueden usarse para realizar diversos ataques: recuperación de archivos, falsificación de solicitudes del servidor, escaneo de puertos o uso de fuerza bruta.
Haga clic en el enlace de abajo y descargue el PDF de este recurso.
Secure Code Warrior está aquí para que su organización le ayude a proteger el código durante todo el ciclo de vida del desarrollo de software y a crear una cultura en la que la ciberseguridad sea una prioridad. Ya sea administrador de AppSec, desarrollador, CISO o cualquier persona relacionada con la seguridad, podemos ayudar a su organización a reducir los riesgos asociados con el código inseguro.
Ver informeReserva una demostración
Application Security Researcher - R&D Engineer - PhD Candidate
El lenguaje de marcado extensible (XML) es un lenguaje de marcado que se utiliza para codificar documentos en un formato fácil de manejar para las máquinas y legible por humanos. Sin embargo, este formato de uso común incluye varios fallos de seguridad. En esta primera entrada de blog relacionada con XML, explicaré los aspectos básicos del manejo seguro de documentos XML mediante el uso de un esquema.
OWASP divide las diferentes vulnerabilidades relacionadas con los esquemas XML y XML en dos categorías.
Documentos XML con formato incorrecto
Los documentos XML mal formados son documentos que no siguen las especificaciones XML del W3C. Algunos ejemplos que dan como resultado un documento con formato incorrecto son la eliminación de una etiqueta final, el cambio del orden de los diferentes elementos o el uso de caracteres prohibidos. Todos estos errores deberían provocar un error fatal y el documento no debería someterse a ningún procesamiento adicional.
Para evitar las vulnerabilidades causadas por documentos con formato incorrecto, debe utilizar un analizador XML bien probado que siga las especificaciones del W3C y que no tarde mucho más en procesar los documentos con formato incorrecto.
Documentos XML no válidos
Los documentos XML no válidos están bien formados pero contienen valores inesperados. En este caso, un atacante puede aprovechar las aplicaciones que no definen correctamente un esquema XML para identificar si los documentos son válidos. A continuación encontrará un ejemplo sencillo de un documento que, si no se valida correctamente, podría tener consecuencias imprevistas.
Una tienda web que almacena sus transacciones en datos XML:
<purchase></purchase>
<id>123</id>
<price>200</price>
Y el usuario solo tiene control sobre el <id>valor. Entonces es posible, sin las contramedidas adecuadas, que un atacante introduzca algo como esto:</id>
<purchase></purchase>
<id>123</id>
<price>0</price>
<id></id>
<price>200</price>
Si el analizador que procesa este documento solo lee la primera instancia de las <id><price>etiquetas y, esto generará resultados no deseados</price></id>.
También es posible que el esquema no sea lo suficientemente restrictivo o que otra validación de entrada sea insuficiente, de modo que se puedan introducir números negativos, decimales especiales (como NaN o Infinity) o valores extremadamente grandes donde no se esperan, lo que lleva a un comportamiento no deseado similar.
Para evitar las vulnerabilidades relacionadas con los documentos XML no válidos, se debe definir un esquema XML preciso y restrictivo para evitar problemas de validación de datos incorrecta.
En la próxima entrada del blog abordaremos algunos ataques más avanzados a documentos XML, como Jumbo Payloads y el temido número cuatro de OWASP Top Ten, XXE.
Mientras tanto, puede perfeccionar o poner a prueba sus habilidades en la validación de entradas XML. en nuestro portal.
Las especificaciones para XML y los esquemas XML incluyen varios fallos de seguridad. Al mismo tiempo, estas especificaciones proporcionan las herramientas necesarias para proteger las aplicaciones XML. Aunque utilizamos esquemas XML para definir la seguridad de los documentos XML, pueden usarse para realizar diversos ataques: recuperación de archivos, falsificación de solicitudes del servidor, escaneo de puertos o uso de fuerza bruta.
Tabla de contenido
Application Security Researcher - R&D Engineer - PhD Candidate
Secure Code Warrior está aquí para que su organización le ayude a proteger el código durante todo el ciclo de vida del desarrollo de software y a crear una cultura en la que la ciberseguridad sea una prioridad. Ya sea administrador de AppSec, desarrollador, CISO o cualquier persona relacionada con la seguridad, podemos ayudar a su organización a reducir los riesgos asociados con el código inseguro.
Reserva una demostraciónDescargarRecursos para empezar
Trust Agent:AI - Secure and scale AI-Drive development
AI is writing code. Who’s governing it? With up to 50% of AI-generated code containing security weaknesses, managing AI risk is critical. Discover how SCW's Trust Agent: AI provides the real-time visibility, proactive governance, and targeted upskilling needed to scale AI-driven development securely.
The Power of OpenText Application Security + Secure Code Warrior
OpenText Application Security and Secure Code Warrior combine vulnerability detection with AI Software Governance and developer capability. Together, they help organizations reduce risk, strengthen secure coding practices, and confidently adopt AI-driven development.
Secure Code Warrior corporate overview
Secure Code Warrior is an AI Software Governance platform designed to enable organizations to safely adopt AI-driven development by bridging the gap between development velocity and enterprise security. The platform addresses the "Visibility Gap," where security teams often lack insights into shadow AI coding tools and the origins of production code.
.png)
