Traitement d’entité externe XML : liste d’autorisation (renforcement de la sécurité de l’instance)

  • Rversion finale: Xanadu
  • Mis à jour 1 août 2024
  • 1 minute de lecture

    • Utilisez la glide.xml.entity.whitelist propriété pour permettre l’accès à une liste de FQDN délimités par des virgules, si nécessaire. Ces URL sont les seules qui peuvent être atteintes à l’aide du traitement d’entité XML.

    Prérequis

    Avant de définir cette propriété, définissez la glide.xml.entity.whitelist.enabled propriété, ce qui active la validation d’une entité externe et autorise uniquement le traitement de la liste d’inclusion que vous spécifiez dans la glide.xml.entity.whitelist propriété. Pour en savoir plus, consultez Validation des entités XMLdoc/XMLUtil avec liste d’autorisation.

    En savoir plus

    Attribut Description
    Nom de la propriété glide.xml.entité.liste blanche
    Type de configuration Propriétés système (/sys_properties_list.do)
    Configurer dans le centre de sécurité de l’instance Oui
    Objectif Pour créer une liste d’inclusion des URL auxquelles le traitement d’entité XML peut accéder.
    Valeur recommandée Spécifié par l’utilisateur (par exemple, https://google.com)
    Impact fonctionnel (Faible) Le traitement d’entité externe peut être bloqué s’il n’est pas mentionné dans la liste d’inclusion. Lorsque la liste d’inclusion est activée, elle nécessite le formulaire PUBLIC d’une définition d’entité externe.
    Risque de sécurité (Élevé) Un attaquant peut utiliser la DTD peut inclure des requêtes HTTP arbitraires que le serveur peut exécuter. Cela pourrait conduire à d’autres attaques utilisant la relation de confiance du serveur avec d’autres entités

    Pour en savoir plus sur l’ajout ou la création d’une propriété système, reportez-vous à la section Add a system property.