XML 外部エンティティ処理 - 許可リスト (インスタンスセキュリティ強化)

  • リリースバージョン: Xanadu
  • 更新日 2024年08月01日
  • 所要時間：1分

    • 必要に応じて、glide.xml.entity.whitelist プロパティを使用して、FQDN のカンマ区切りリストにアクセスできるようにします。XML エンティティ処理を使用してアクセスできるのは、これらの URL のみになります。

    必須条件

    このプロパティを設定する前に、glide.xml.entity.whitelist.enabled プロパティを設定します。これにより、外部エンティティの検証が有効になり、glide.xml.entity.whitelist プロパティで指定した包含リストの処理のみが許可されます。詳細については、「許可リストを使用した XMLdoc/XMLUtil エンティティ検証」を参照してください。

    詳細情報

    属性 説明
    プロパティ名 glide.xml.entity.whitelist
    構成タイプ システムプロパティ (/sys_properties_list.do)
    インスタンスセキュリティセンターでの構成 あり
    目的 XML エンティティ処理がアクセスできる URL の包含リストを作成すること
    推奨値 ユーザー指定 (例：https://google.com)
    機能への影響度 (低) 包含リストに記載されていない場合、外部エンティティ処理がブロックされる可能性があります。包含リストを有効にすると、外部エンティティ定義の PUBLIC フォームが必要になります。
    セキュリティリスク (高) 攻撃者は DTD を使用して、サーバーが実行する可能性のある任意の HTTP 要求を含めることができます。この場合、サーバーと他のエンティティとの信頼関係を利用する他の攻撃につながる可能性があります。

    システムプロパティの追加または作成の詳細については、「Add a system property」を参照してください。