Programadores que conquistan la seguridad: Serie de aprendizaje y colaboración - Inyección XXE

El ataque de inyección de entidades externas XML, a veces abreviado simplemente como inyección XXE, es relativamente nuevo en comparación con algunas de las vulnerabilidades clásicas que siguen circulando años después de su aparición. Pero es extremadamente popular en las comunidades de hackers en este momento y su popularidad sigue creciendo a medida que acumula éxitos.

De hecho, OWASP ahora incluye la inyección XXE como una de las diez principales vulnerabilidades ante las que los sitios deben estar atentos y defenderse activamente. Pero no se preocupe, la inyección XXE no es más potente que otros exploits utilizados en ciberataques. Es solo un poco más reciente y menos comprendida. Se puede prevenir y, de hecho, detener por completo.

En este episodio aprenderemos:

• Cómo utilizan los atacantes las inyecciones XXE
• Por qué la inyección XXE es peligrosa
• Técnicas que pueden prevenir esta vulnerabilidad.

¿Cómo provocan los atacantes una inyección XXE?

La vulnerabilidad de inyección XXE puede ocurrir cuando un usuario malintencionado tiene la capacidad de enviar código XML. Utilizan esta capacidad para crear una referencia a una entidad externa. La referencia externa y el código están diseñados para eludir un analizador XML con la configuración predeterminada o con una configuración débil.

El atacante aprovecha el hecho de que el estándar XML define el concepto de entidad como una unidad de almacenamiento de algún tipo, pero dicho almacenamiento puede ser externo o interno. Si se utiliza correctamente, puede permitir que los procesadores XML accedan a recursos remotos. La mayoría de las veces, los atacantes utilizan esta capacidad para realizar acciones como sondear la estructura interna de un sitio web, lanzar un ataque de denegación de servicio al activar grandes procesos del sistema que intentan acceder a recursos remotos, o incluso extraer datos de un host local a uno remoto que ellos controlan, lo que la convierte en una buena técnica para exfiltrar datos importantes como contraseñas o información personal contenida en la base de datos XML.

El código real involucrado en el ataque suele ser bastante simplista, ya que simplemente explota la funcionalidad de la entidad. Por ejemplo, esto podría permitir a un hacker acceder al archivo de contraseñas maestro:

<!ENTITY hackwithxxe SYSTEM file:///etc/password>

¿Por qué es peligrosa la inyección XXE?

Existen varias razones por las que los ataques de inyección XXE son tan peligrosos y, además, frecuentes. Por un lado, es una vulnerabilidad menos comprendida en este momento. Y las ganancias que un atacante puede obtener al explotarla son considerables. Por ejemplo, puede permitir que atacantes persistentes mapeen lentamente todas las rutas en una red interna o incluso escaneen puertos. Aunque esto podría llevar una cantidad considerable de tiempo, casi no hay posibilidad de que la actividad del hacker sea descubierta por las defensas activas en la red objetivo, ya que simplemente están enviando código XML a un servidor que está siendo procesado por el analizador XML de confianza.

Una vez mapeada, los atacantes pueden utilizar las mismas técnicas de inyección XXE para capturar los archivos que necesiten, ya sea robando información directamente o comprometiendo credenciales de usuario válidas y utilizándolas para ataques secundarios. Finalmente, los atacantes que solo quieren causar problemas y ser malintencionados pueden realizar acciones como activar ataques de denegación de servicio, ordenando a la aplicación que intente acceder a recursos distantes diseñados para ralentizar el sistema.  

Eliminación de la vulnerabilidad de inyección XXE

Debido al rápido aumento de los ataques de inyección XXE, muchos analizadores XML están empezando a deshabilitar las entidades externas, a veces llamadas DTD, de forma predeterminada. Para ellos, la clave es simplemente no habilitar esa funcionalidad.

Pero incluso los analizadores que permiten DTD pueden tener esa funcionalidad deshabilitada. En general, será necesaria una instrucción como la siguiente para bloquearla por completo, pero consulte la documentación de su framework local para obtener el código exacto necesario.

factory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);

Siguiendo los principios de seguridad, toda la entrada del usuario debe ser saneada y validada utilizando filtros en toda la aplicación. No olvide incluir parámetros GET y POST, encabezados HTTP y cookies. También puede crear una lista blanca de DTD y comandos específicos que desee que el analizador procese, y denegar todo lo demás.

Aunque la creación de listas blancas y el filtrado funcionan, debido al creciente número de ataques de inyección XXE, se recomienda deshabilitar por completo el soporte para DTD si no se requiere dicha funcionalidad.

Más información sobre las inyecciones XXE

Para profundizar, puedes consultar lo que dice OWASP sobre los ataques de inyección XXE. También puedes poner a prueba tus nuevos conocimientos defensivos con la demo gratuita de la plataforma Secure Code Warrior, que entrena a equipos de ciberseguridad para convertirse en los mejores ciberguerreros. Para aprender más sobre cómo vencer esta vulnerabilidad y otras amenazas, visita el blog de Secure Code Warrior.