Verarbeitung externer XML-Entitäten – Allow-Liste (Instanzsicherheitshärtung)

  • Freigeben Version: Washingtondc
  • Aktualisiert 1. Februar 2024
  • 1 Minute Lesedauer

    • Verwenden Sie die Eigenschaft glide.xml.entity.whitelist, um bei Bedarf den Zugriff auf eine Liste von durch Kommas getrennten FQDNs zu ermöglichen. Diese URLs sind die einzigen, die über die XML-Entitätsverarbeitung erreicht werden können.

    Voraussetzungen

    Legen Sie vor dem Festlegen dieser Eigenschaft die Eigenschaft glide.xml.entity.whitelist.enabled fest, die die Validierung einer externen Entität ermöglicht und nur die Verarbeitung der Aufnahmeliste zulässt, die Sie in der Eigenschaft glide.xml.entity.whitelist angeben. Weitere Informationen finden Sie unter XMLdoc/XMLUtil-Entitätsvalidierung mit Whitelisting.

    Weitere Informationen

    Attribut Beschreibung
    Eigenschaftsname glide.xml.entity.whitelist
    Konfigurationstyp Systemeigenschaften (/sys_properties_list.do)
    Konfigurieren Sie im Instanz-Sicherheitszentrum Ja
    Zweck So erstellen Sie eine Aufnahmeliste von URLs, auf die die XML-Entitätsverarbeitung zugreifen kann.
    Empfohlener Wert Benutzerdefinierte (z. B. https://google.com)
    Funktionale Auswirkung (Niedrig) Die Verarbeitung externer Entitäten kann blockiert werden, wenn sie nicht in der Aufnahmeliste erwähnt werden. Wenn die Aufnahmeliste aktiviert ist, ist das PUBLIC-Formular einer externen Entitätsdefinition erforderlich.
    Sicherheitsrisiko (Hoch) Ein Angreifer kann die DTD beliebige HTTP-Anforderungen enthalten, die der Server ausführen kann. Dies kann zu anderen Angriffen führen, die die Vertrauensstellung des Servers zu anderen Entitäten nutzen

    Weitere Informationen zum Hinzufügen oder Erstellen einer Systemeigenschaft finden Sie unter Add a system property.