Verarbeitung externer XML-Entitäten – Allow-Liste (Härtung der Instanzsicherheit)

  • Freigeben Version: Xanadu
  • Aktualisiert 1. August 2024
  • 1 Minute Lesedauer

    • Verwenden Sie die Eigenschaft glide.xml.entity.whitelist, um bei Bedarf den Zugriff auf eine Liste von durch Kommas getrennten FQDNs zu ermöglichen. Diese URLs sind die einzigen, die über die Verarbeitung von XML-Entitäten erreicht werden können.

    Voraussetzungen

    Bevor Sie diese Eigenschaft festlegen, legen Sie die Eigenschaft glide.xml.entity.whitelist.enabled fest, die die Validierung einer externen Entität und nur die Verarbeitung der Aufnahmeliste ermöglicht, die Sie in der Eigenschaft glide.xml.entity.whitelist angeben. Weitere Informationen finden Sie unter XMLdoc/XMLUtil-Entitätsvalidierung mit Allow-Liste.

    Weitere Informationen

    Attribut Beschreibung
    Eigenschaftsname glide.xml.entity.whitelist
    Konfigurationstyp Systemeigenschaften (/sys_properties_list.do)
    Konfigurieren Sie im Instanz-Sicherheitszentrum Ja
    Zweck Zum Erstellen einer Aufnahmeliste von URLs, auf die die XML-Entitätsverarbeitung zugreifen kann.
    Empfohlener Wert Vom Anwender angegeben (z. B. https://google.com)
    Funktionale Auswirkung (Niedrig) Die Verarbeitung externer Entitäten kann blockiert werden, wenn sie nicht in der Aufnahmeliste aufgeführt ist. Wenn die Aufnahmeliste aktiviert ist, erfordert sie die PUBLIC-Form einer externen Entitätsdefinition.
    Sicherheitsrisiko (Hoch) Ein Angreifer kann mithilfe der DTD beliebige HTTP-Anforderungen einschließen, die der Server ausführen kann. Dies könnte zu weiteren Angriffen führen, die die Vertrauensstellung des Servers zu anderen Entitäten nutzen

    Weitere Informationen zum Hinzufügen oder Erstellen von Systemeigenschaften finden Sie unter Add a system property.