Technique de codage sécurisé : traitement des données XML, partie 1

Le langage XML (Extensible Markup Language) est un langage de balisage utilisé pour encoder des documents dans un format à la fois facile à manipuler pour les machines et lisible par l'humain. Cependant, ce format couramment utilisé comporte de multiples failles de sécurité. Dans ce premier article de blog consacré au XML, j'expliquerai les bases de la manipulation sécurisée des documents XML à l'aide d'un schéma.

L'OWASP divise les différentes vulnérabilités liées au XML et aux schémas XML en deux catégories.

Documents XML mal formés

Les documents XML mal formés sont des documents qui ne respectent pas les spécifications XML du W3C. Quelques exemples entraînant un document mal formé sont la suppression d'une balise de fermeture, la modification de l'ordre des différents éléments ou l'utilisation de caractères interdits. Toutes ces erreurs devraient entraîner une erreur fatale et le document ne devrait subir aucun traitement supplémentaire.

Afin d'éviter les vulnérabilités causées par des documents mal formés, vous devez utiliser un analyseur XML éprouvé qui respecte les spécifications du W3C et qui ne met pas beaucoup plus de temps à traiter les documents mal formés.

Documents XML invalides

Les documents XML invalides sont bien formés mais contiennent des valeurs inattendues. Ici, un attaquant peut tirer parti des applications qui ne définissent pas correctement un schéma XML pour identifier si les documents sont valides. Vous trouverez ci-dessous un exemple simple de document qui, s'il n'est pas validé correctement, pourrait avoir des conséquences imprévues.

Une boutique en ligne qui stocke ses transactions dans des données XML :

   <purchase></purchase>
     <id>123</id>
     <price>200</price>
   

Et l'utilisateur n'a de contrôle que sur la valeur <id>. Il est alors possible, sans les contre-mesures appropriées, pour un attaquant de saisir quelque chose comme ceci :</id>

   <purchase></purchase>
     <id>123</id>
     <price>0</price>
     <id></id>
     <price>200</price>
   

Si l'analyseur qui traite ce document ne lit que la première instance des balises <id> et <price>, cela conduira à des résultats indésirables. </price></id>

Il est également possible que le schéma ne soit pas assez restrictif ou que d'autres validations d'entrée soient insuffisantes, permettant ainsi la saisie de nombres négatifs, de décimales spéciales (comme NaN ou Infinity) ou de valeurs excessivement grandes là où elles ne sont pas attendues, ce qui entraîne un comportement involontaire similaire.

Pour éviter les vulnérabilités liées aux documents XML invalides, il convient de définir un schéma XML précis et restrictif afin de prévenir les problèmes de validation de données inappropriée.

Dans le prochain article de blog, nous aborderons des attaques plus avancées sur les documents XML, telles que les « Jumbo Payloads » et la redoutable quatrième vulnérabilité du Top 10 de l'OWASP : l'XXE.

En attendant, vous pouvez perfectionner ou tester vos compétences en matière de validation d'entrée XML sur notre portail.

Les spécifications XML et les schémas XML comportent de multiples failles de sécurité. Parallèlement, ces spécifications fournissent les outils nécessaires pour protéger les applications XML. Bien que nous utilisions des schémas XML pour définir la sécurité des documents XML, ils peuvent être détournés pour mener diverses attaques : récupération de fichiers, falsification de requête côté serveur (SSRF), scan de ports ou attaques par force brute.

https://www.owasp.org/index.php/XML_Security_Cheat_Sheet