Técnica de codificación segura: procesamiento de datos XML, parte 1

El lenguaje de marcado extensible (XML) es un lenguaje de marcado que se utiliza para codificar documentos en un formato fácil de manejar para las máquinas y legible por humanos. Sin embargo, este formato de uso común incluye varios fallos de seguridad. En esta primera entrada de blog relacionada con XML, explicaré los aspectos básicos del manejo seguro de documentos XML mediante el uso de un esquema.

OWASP divide las diferentes vulnerabilidades relacionadas con los esquemas XML y XML en dos categorías.

Documentos XML con formato incorrecto

Los documentos XML mal formados son documentos que no siguen las especificaciones XML del W3C. Algunos ejemplos que dan como resultado un documento con formato incorrecto son la eliminación de una etiqueta final, el cambio del orden de los diferentes elementos o el uso de caracteres prohibidos. Todos estos errores deberían provocar un error fatal y el documento no debería someterse a ningún procesamiento adicional.

Para evitar las vulnerabilidades causadas por documentos con formato incorrecto, debe utilizar un analizador XML bien probado que siga las especificaciones del W3C y que no tarde mucho más en procesar los documentos con formato incorrecto.

Documentos XML no válidos

Los documentos XML no válidos están bien formados pero contienen valores inesperados. En este caso, un atacante puede aprovechar las aplicaciones que no definen correctamente un esquema XML para identificar si los documentos son válidos. A continuación encontrará un ejemplo sencillo de un documento que, si no se valida correctamente, podría tener consecuencias imprevistas.

Una tienda web que almacena sus transacciones en datos XML:

<purchase></purchase>
<id>123</id>
<price>200</price>

Y el usuario solo tiene control sobre el <id>valor. Entonces es posible, sin las contramedidas adecuadas, que un atacante introduzca algo como esto:</id>

<purchase></purchase>
<id>123</id>
<price>0</price>
<id></id>
<price>200</price>

Si el analizador que procesa este documento solo lee la primera instancia de las <id><price>etiquetas y, esto generará resultados no deseados</price></id>.

También es posible que el esquema no sea lo suficientemente restrictivo o que otra validación de entrada sea insuficiente, de modo que se puedan introducir números negativos, decimales especiales (como NaN o Infinity) o valores extremadamente grandes donde no se esperan, lo que lleva a un comportamiento no deseado similar.

Para evitar las vulnerabilidades relacionadas con los documentos XML no válidos, se debe definir un esquema XML preciso y restrictivo para evitar problemas de validación de datos incorrecta.

En la próxima entrada del blog abordaremos algunos ataques más avanzados a documentos XML, como Jumbo Payloads y el temido número cuatro de OWASP Top Ten, XXE.

Mientras tanto, puede perfeccionar o poner a prueba sus habilidades en la validación de entradas XML. en nuestro portal.

Las especificaciones para XML y los esquemas XML incluyen varios fallos de seguridad. Al mismo tiempo, estas especificaciones proporcionan las herramientas necesarias para proteger las aplicaciones XML. Aunque utilizamos esquemas XML para definir la seguridad de los documentos XML, pueden usarse para realizar diversos ataques: recuperación de archivos, falsificación de solicitudes del servidor, escaneo de puertos o uso de fuerza bruta.

https://www.owasp.org/index.php/XML_Security_Cheat_Sheet