java - 强化 XML 外部实体 (XXE)

Question

我在 fortify 报告中收到第 4 行的 XML 外部实体注入(inject)安全警告。不知道如何解决它。我对 SOAP、JAXB 和 Marshaller 还很陌生。

1    private TargetObject convert( ResponseEntity<String> response ) throws JAXBException{

2       JAXBContext jaxbContext = JAXBContext.newInstance( TargetObject.class );

3       Unmarshaller unmarshaller = jaxbContext.createUnmarshaller();

4       StringReader reader = new StringReader( Objects.requireNonNull( response.getBody() ) );

5       TargetObject targetObject = (ArrayOfOrderList) unmarshaller.unmarshal( reader );

6       return targetObject;

7    }

第 4 行(XML 外部实体注入(inject))高
问题详情
Kingdom:输入验证和表示
扫描引擎:SCA(语义)
水槽细节
接收器:unmarshal()

提前致谢!

Answer 1

我建议您阅读:OWASP XXE Prevention Cheat Sheet 。这将为您提供解决方案