XXE (XML External Entity)

Définition

XXE, XML External Entity, est une vulnérabilité affectant les applications qui traitent des documents XML fournis par l'utilisateur au moyen d'un parseur mal configuré, autorisant par défaut la résolution d'entités externes définies dans le document, une fonctionnalité native du standard XML historiquement activée par défaut dans de nombreuses bibliothèques de traitement mais rarement nécessaire en pratique pour la majorité des usages applicatifs légitimes. Un attaquant peut exploiter cette fonctionnalité en soumettant un document XML malveillant définissant une entité externe pointant vers un fichier local du système, permettant sa lecture et son inclusion dans la réponse retournée par l'application, une technique classique pour exfiltrer des fichiers sensibles comme des fichiers de configuration contenant des identifiants. La même mécanique peut être détournée pour effectuer une attaque SSRF (Server-Side Request Forgery), en pointant l'entité externe vers une URL interne inaccessible depuis l'extérieur, permettant à l'attaquant de sonder ou d'interagir avec des services internes normalement isolés du réseau public. Dans certains contextes applicatifs spécifiques, l'exploitation d'XXE peut également conduire à un déni de service via des attaques de type entités récursives, voire dans de rares cas à une exécution de code arbitraire selon les bibliothèques et extensions présentes sur le serveur. La remédiation consiste à désactiver explicitement le traitement des entités externes et des DTD au niveau de la configuration du parseur XML utilisé.