Désactiver l’expansion des entités dans l’analyseur de diffusion en continu XMLDocument2 [mis à jour dans le centre de sécurité 1.5]

Si les personnalisations ne nécessitent pas l’expansion de l’entité, utilisez la propriété pour désactiver complètement l’expansion de l’entité glide.stax.allow_entity_resolution externe. Le XML termine l’analyse, mais n’inclut aucune entité interne ou externe.

Désactivez l’expansion des entités sur votre instance pour la sécuriser contre des attaques telles que la capacité à lire des fichiers système et le déni de service. Utilisez la propriété système pour interdire le développement des entités XML lors de l’analyse par l’analyseur de diffusion (XMLDocument2).

Définissez la propriété système glide.stax.allow_entity_resolution sur faux pour désactiver l’expansion des entités sur votre instance. Si cette propriété n’apparaît pas dans la table Propriétés système [sys_properties], la valeur par défaut est true. Créez l’enregistrement de propriété et définissez la valeur sur faux pour modifier sa valeur.

Prérequis

Avant de définir cette propriété :

• Définissez les propriétés et glide.xml.entity.whitelist.enabledglide.stax.whitelist_enabled sur vrai. Pour en savoir plus, reportez-vous à la section et .
• Définissez une liste de FQDN délimités par des virgules dans la glide.xml.entity.whitelist propriété, qui sont les seules URL pouvant être atteintes à l’aide du traitement XML Entity. Pour en savoir plus, reportez-vous à la rubrique .

Avertissement :

Il s’agit d’une propriété de la sphère de sécurité, ce qui signifie que la valeur ne peut pas être modifiée une fois qu’elle a été modifiée. Il n’est pas réversible.

En savoir plus

Attribut	Description
Nom de la propriété	glide.stax.allow_entity_resolution
Type de configuration	Propriétés système (/sys_properties_list.do)
Catégorie	Validation, nettoyage et codage
Objectif	Ce contrôle de remédiation doit être activé pour se défendre contre une attaque XML Entity Expansion/Billion Laugh.
Valeur recommandée	Faux
Valeur par défaut	VRAI
Impact fonctionnel	Si la personnalisation utilise l’expansion de l’entité, elle peut bloquer tout Now Platform traitement ultérieur.
Risque de sécurité	(Critique) Un attaquant peut utiliser cette vulnérabilité pour étendre les données de manière exponentielle, consommant rapidement toutes les ressources système.
Solution de contournement	Si la personnalisation nécessite l’expansion de l’entité, définissez cette propriété sur vrai et suivez les étapes décrites à la section .

Pour en savoir plus sur l’ajout ou la création d’une propriété système, voir Add a system property

Pour plus d’informations sur les ressources OWASp, consultez OWASp.