Les développeurs à la conquête de la sécurité : Série Partage & Apprentissage - Injection XXE

L'attaque par injection d'entités externes XML, parfois simplement appelée injection XXE, est relativement récente comparée à certaines vulnérabilités classiques qui circulent encore des années après leur apparition. Mais elle est extrêmement populaire au sein des communautés de hackers et gagne du terrain à mesure qu'elle accumule les succès.

En fait, l'OWASP classe désormais l'injection XXE parmi les dix principales vulnérabilités contre lesquelles les sites doivent se protéger activement. Mais ne vous inquiétez pas, l'injection XXE n'est pas plus puissante que les autres exploits utilisés dans les cyberattaques. Elle est simplement un peu plus récente et un peu moins comprise. Elle peut être évitée, et même totalement neutralisée.

Dans cet épisode, nous apprendrons :

• Comment les attaquants utilisent les injections XXE
• Pourquoi l'injection XXE est dangereuse
• Techniques permettant de prévenir cette vulnérabilité.

Comment les attaquants déclenchent-ils une injection XXE ?

La vulnérabilité d'injection XXE peut survenir lorsqu'un utilisateur malveillant a la possibilité de soumettre du code XML. Il utilise cette capacité pour créer une référence à une entité externe. La référence externe et le code sont conçus pour passer outre un analyseur XML aux paramètres par défaut ou mal configurés.

L'attaquant exploite le fait que la norme XML définit le concept d'entité comme une unité de stockage, qu'elle soit externe ou interne. Utilisée correctement, elle permet aux processeurs XML d'accéder à des ressources distantes. Le plus souvent, les attaquants utilisent cette capacité pour sonder la structure interne d'un site web, lancer une attaque par déni de service en déclenchant des processus système lourds tentant d'accéder à des ressources distantes, ou même transférer des données d'un hôte local vers un hôte distant qu'ils contrôlent, ce qui en fait une technique efficace pour exfiltrer des données sensibles comme des mots de passe ou des informations personnelles contenues dans la base de données XML.

Le code utilisé dans l'attaque est souvent assez simpliste, exploitant simplement la fonctionnalité d'entité. Par exemple, cela pourrait permettre à un pirate d'accéder au fichier des mots de passe maîtres :

<!ENTITY hackwithxxe SYSTEM file:///etc/password>

Pourquoi l'injection XXE est-elle dangereuse ?

Il existe plusieurs raisons pour lesquelles les attaques par injection XXE sont si dangereuses et répandues. D'une part, c'est une vulnérabilité encore mal comprise. D'autre part, les gains qu'un attaquant peut obtenir en l'exploitant sont considérables. Elle peut permettre à des attaquants persistants de cartographier lentement tous les chemins d'un réseau interne ou même de scanner des ports. Bien que cela puisse prendre un certain temps, il n'y a pratiquement aucune chance que l'activité du pirate soit détectée par les défenses actives du réseau cible, car il envoie simplement du code XML vers un serveur qui est traité par l'analyseur XML de confiance.

Une fois la cartographie effectuée, les attaquants peuvent utiliser les mêmes techniques d'injection XXE pour capturer les fichiers dont ils ont besoin, soit en volant directement des informations, soit en compromettant des identifiants d'utilisateurs valides pour mener des attaques secondaires. Enfin, les attaquants qui cherchent simplement à nuire peuvent déclencher des attaques par déni de service en ordonnant à l'application de tenter d'accéder à des ressources distantes conçues pour saturer le système.

Éliminer la vulnérabilité d'injection XXE

En raison de l'augmentation rapide des attaques par injection XXE, de nombreux analyseurs XML commencent à désactiver complètement les entités externes, parfois appelées DTD, par défaut. Pour ceux-ci, la clé consiste simplement à ne pas activer cette fonctionnalité.

Mais même les analyseurs qui autorisent les DTD peuvent voir cette fonctionnalité désactivée. En général, une instruction comme la suivante sera nécessaire pour la bloquer complètement, mais consultez la documentation de votre framework local pour obtenir le code exact requis.

factory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);

En suivant les principes de sécurité, toutes les entrées utilisateur doivent être assainies et validées à l'aide de filtres à l'échelle de l'application. N'oubliez pas d'inclure les paramètres GET et POST, les en-têtes HTTP et les cookies. Vous pouvez également créer une liste blanche des DTD et des commandes spécifiques que vous souhaitez que l'analyseur traite, et interdire tout le reste.

Bien que la mise sur liste blanche et le filtrage soient efficaces, en raison de la recrudescence des attaques par injection XXE, il est recommandé de désactiver complètement la prise en charge des DTD si cette fonctionnalité n'est pas nécessaire.

En savoir plus sur les injections XXE

Pour aller plus loin, vous pouvez consulter les recommandations de l'OWASP concernant les attaques par injection XXE. Vous pouvez également mettre vos nouvelles compétences défensives à l'épreuve avec la démo gratuite de la plateforme Secure Code Warrior, qui forme les équipes de cybersécurité à devenir des experts en la matière. Pour en savoir plus sur la neutralisation de cette vulnérabilité et d'autres menaces, visitez le blog de Secure Code Warrior.