CSSA 独自早期警戒9.1 超危険
AndroidAsync が悪意ある XML 外部実体を解析し、機微データの漏洩とサービス停止に至る
この欠陥は、下層の文書構築ファクトリが実体化の段階で安全な設定引数を有効にしていないことに起因します。攻撃者は悪意ある文書型定義と外部実体宣言を含む HTTP 応答を組み立てることで遠隔から悪用できます。対象の応用が既定でテキスト型の XML 解析インターフェースを呼び出して信頼できないデータ源を処理すると、解析エンジンは自動的に外部資源の参照処理を発火させ、ローカルファイルシステムの読み取り、サーバーサイドリクエストフォージェリ、あるいは指数的な実体膨張による計算資源の枯渇を招きます。
コンポーネント
AndroidAsync は非閉塞のネットワーク入出力モデルに基づいて設計された非同期通信フレームワークです。アーキテクチャはイベント駆動の機構により高並行の接続管理を実現し、中核モジュールは HTTP のクライアント・サーバー通信、WebSocket プロトコルへの対応、下層のバイトストリーム緩衝…
種別
XXE (CWE-611)
リポジトリ
github.com/koush/AndroidAsync · Star 7541
対処方法
- XML 解析器の初期化時に外部の一般実体と引数実体の読み込み機能を強制的に無効化し、文書型宣言の解析選択肢を閉じ、安全処理の特性を有効にして外部 DTD の参照を制限することを推奨します。あわせて例外捕捉の機構により下層の異なる解析実装との互換性を保ち、コードの可搬性を確保してください。
