加强XML外部实体(XXE)

Question

我在fortify报告的第4行得到了一个XML外部实体注入安全警告。不知道如何修复它。我对SOAP、JAXB和Marshaller非常陌生。

1    private TargetObject convert( ResponseEntity<String> response ) throws JAXBException{

2       JAXBContext jaxbContext = JAXBContext.newInstance( TargetObject.class );

3       Unmarshaller unmarshaller = jaxbContext.createUnmarshaller();

4       StringReader reader = new StringReader( Objects.requireNonNull( response.getBody() ) );

5       TargetObject targetObject = (ArrayOfOrderList) unmarshaller.unmarshal( reader );

6       return targetObject;

7    }

第4行(XML外部实体注入)高

问题详细信息

王国:输入验证和表示

扫描引擎: SCA (语义)

汇详细信息

接收器: unmarshal()

提前感谢！

Answer 1

我推荐你阅读：OWASP XXE Prevention Cheat Sheet。这将为您提供解决方案