Ako zabrániť XML External Entities (XXE) v PHP

Stručne: XXE v PHP zabránite tak, že XML z cudzích zdrojov načítate bez možností LIBXML_NOENT, LIBXML_DTDLOAD a LIBXML_DTDVALID, dokumenty s vlastným DTD odmietnete a nastavíte Entity Loader, ktorý externé zdroje odmieta. Od libxml 2.9.0 PHP štandardne entity nenahrádza, preto je libxml_disable_entity_loader() od PHP 8.0 zastaraná. Od PHP 8.4 s libxml 2.13 je navyše k dispozícii LIBXML_NO_XXE.

Stará zraniteľnosť, ktorá nezmizne

XML External Entities, skrátene XXE, považuje veľa vývojárov za vyriešenú tému. PHP s modernými verziami libxml štandardne vypol načítavanie externých entít a stará ochranná funkcia bola v PHP 8.0 označená ako zastaraná. Napriek tomu sa zraniteľnosti XXE v kontrolách stále objavujú.

Dôvod je takmer vždy v jednej z troch situácií: niekto nastavil možnosť na vyriešenie problému s importom a tým opäť zapol nahrádzanie entít. Knižnica to robí interne. Alebo aplikácia beží na starom systéme, ktorého PHP bolo zostavené s veľmi starou libxml.

XXE je nebezpečné, pretože parser XML pritom dosťahuje obsah, na ktorý sa v dokumente len odkazuje: lokálne súbory alebo adresy v sieti. Možné následky sú čítanie konfiguračných súborov, požiadavky na interné systémy podobne ako pri SSRF a preťaženie servera.

Čo platí od libxml 2.9 a PHP 8.0

Príručka PHP opisuje situáciu takto: od libxml 2.9.0 je nahrádzanie entít štandardne vypnuté. Externé entity sa preto už nemusia osobitne vypínať, pokiaľ sa interné odkazy na entity nemajú rozlišovať pomocou určitých možností. Z toho vyplýva tento prehľad:

Zavádzajúci názov LIBXML_NOENT je známa pasca: znie ako „žiadne entity“, no spôsobuje opak.

Pre vývojárov to znamená: riskantné nie je samotné načítanie XML, ale každé miesto, ktoré štandardné správanie vedome mení. Hľadanie týchto konštánt v kóde je preto najrýchlejšou cestou k prvému odhadu, ešte pred akoukoľvek náročnou kontrolou.

Bezpečná obrana proti XXE v PHP: vzor pre DOMDocument

Nasledujúci príklad kombinuje viacero ochranných vrstiev. Nastaví Entity Loader, ktorý odmieta každý externý zdroj, načíta bez riskantných možností a odmietne dokumenty s vlastným DTD:

<?php
declare(strict_types=1);

function ladeFremdesXml(string $xml): DOMDocument
{
    // Externé zdroje zásadne odmietať
    libxml_set_external_entity_loader(
        static fn (?string $public, string $system, array $context) => null
    );

    $optionen = LIBXML_NONET;
    if (defined('LIBXML_NO_XXE')) {
        $optionen |= LIBXML_NO_XXE;
    }

    $vorher = libxml_use_internal_errors(true);
    $dom = new DOMDocument();
    $ok = $dom->loadXML($xml, $optionen);
    libxml_use_internal_errors($vorher);

    if (!$ok) {
        throw new InvalidArgumentException('XML ungültig.');
    }
    if ($dom->doctype !== null) {
        throw new InvalidArgumentException('Dokumente mit DTD werden nicht angenommen.');
    }
    return $dom;
}

Podľa príručky PHP blokuje návratová hodnota null v loaderi načítanie externého zdroja. OWASP upozorňuje, že nestačí odovzdať null priamo funkcii libxml_set_external_entity_loader(); potrebuje sa funkcia, ktorá vracia null. Pre SimpleXML a XMLReader platia rovnaké možnosti. Kdekoľvek je to možné, OWASP odporúča DTD odmietať úplne.

Nájdenie skrytých vstupov XML

Mnohé aplikácie spracúvajú viac XML, než si ich vývojári myslia. Prejdite si tento zoznam:

1. Rozhrania: klienti a servery SOAP, XML-RPC, platobné a prepravné služby s odpoveďami XML.
2. Prihlásenie: jednotné prihlásenie cez SAML sa zakladá na dokumentoch XML, ktoré prichádzajú zvonka.
3. Importy: údaje o produktoch, kanály, sitemapy, katalógové formáty.
4. Uploady: obrázky SVG sú XML; formáty Office ako DOCX a XLSX interne pozostávajú zo súborov XML.
5. Knižnice: balíky Composer pre dokumenty, tabuľky alebo SAML, ktoré interne používajú libxml.

V kóde pomôžu dve hľadania:

grep -rnE "LIBXML_(NOENT|DTDLOAD|DTDVALID|PARSEHUGE)" src/ vendor/ --include="*.php"
grep -rnE "(loadXML|simplexml_load_(string|file)|XMLReader|->load\()" src/ --include="*.php"

Nálezy vo vendor/ nie sú dôvodom na paniku, ale podnetom skontrolovať verziu a bezpečnostné hlásenia knižnice.

Pri uploadoch SVG je XXE len jedným z viacerých rizík, pretože súbory SVG môžu obsahovať aj skripty. Ak vaša aplikácia formát nutne nepotrebuje, vôbec ho pre uploady nepovoľte. Inak SVG spracúvajte len podľa bezpečného vzoru vyššie a súbory doručujte tak, aby prehliadač obsiahnuté skripty nevykonal.

Dávajte pozor aj na chybové hlásenia. Ak aplikácia vracia hlásenia libxml používateľom nefiltrované, môžu v nich byť časti spracúvaného obsahu. Chyby patria do protokolu, používateľ dostane všeobecné hlásenie; v príklade vyššie zabezpečuje libxml_use_internal_errors(true), aby sa upozornenia nedostali do výstupu. Obmedzte navyše veľkosť prijatých dokumentov XML skôr, než ich parser vôbec uvidí.

Staré systémy: kedy štandardná ochrana chýba

Ochrana štandardným správaním závisí od verzie libxml, s ktorou bolo PHP zostavené. Ktorá verzia beží, ukáže php -r 'echo LIBXML_DOTTED_VERSION, PHP_EOL;' na príkazovom riadku alebo výstup phpinfo() v chránenom prostredí. Hodnotu skontrolujte pre každú verziu PHP na serveri, pretože CLI a webserver môžu používať odlišné zostavenia. Obrazy kontajnerov prinášajú vlastnú libxml; tam kontrolujte v bežiacom kontajneri, nie na hostiteľovi.

Obzvlášť postihnuté sú systémy, ktoré tak či tak bežia na starých verziách PHP. Pre PHP 8.1 a staršie už po PHP2Shell neexistujú oficiálne aktualizácie projektu PHP; čo to znamená, opisuje PHP 8.1 a staršie: čo platí teraz. Starý systém so zastaranou libxml a otvorenými zraniteľnosťami interpretera by sa nemal len zabezpečiť v kóde, ale migrovať. Príbuzné riziká pri spracovaní cudzích údajov opisuje Nebezpečná deserializácia v PHP, sťahovanie interných cieľov Ako zabrániť Server-Side Request Forgery v PHP.

Ako konkrétne pomáha PHP SOS?

• Nájdeme všetky miesta, kde vaša aplikácia a jej knižnice spracúvajú XML z cudzích zdrojov.
• Odstránime riskantné možnosti parsera a zabudujeme centrálnu, zabezpečenú funkciu načítania.
• Skontrolujeme verzie libxml a PHP na všetkých serveroch a pri starých systémoch naplánujeme migráciu.
• Zmeny otestujeme neškodnými kontrolnými dokumentmi a výsledok zdokumentujeme.

Kontrolu vlastného softvéru opisuje služba Bezpečnostný audit a penetračný test.

Časté otázky

Zdroje

• Príručka PHP: libxml_disable_entity_loader
• Príručka PHP: konštanty libxml
• OWASP XML External Entity Prevention Cheat Sheet