CA3009: Esaminare il codice per individuare le vulnerabilità di inserimento XML

Articolo
02/15/2024

Proprietà	valore
ID regola	CA3009
Title	Esaminare il codice per verificare la presenza di vulnerabilità di tipo XML injection
Categoria	Sicurezza
La correzione causa un'interruzione o meno	Non causa un'interruzione
Abilitato per impostazione predefinita in .NET 9	No

Causa

L'input di richiesta HTTP potenzialmente non attendibile raggiunge l'output XML non elaborato.

Per impostazione predefinita, questa regola analizza l'intera codebase, ma è configurabile.

Descrizione regola

Quando si usa l'input non attendibile, tenere presente gli attacchi XML injection. Un utente malintenzionato può usare l'inserimento XML per inserire caratteri speciali in un documento XML, rendendo il documento XML non valido. In alternativa, un utente malintenzionato potrebbe inserire in modo dannoso nodi XML di propria scelta.

Questa regola tenta di trovare l'input dalle richieste HTTP che raggiungono una scrittura XML non elaborata.

Nota

Questa regola non è in grado di tenere traccia dei dati tra gli assembly. Ad esempio, se un assembly legge l'input della richiesta HTTP e lo passa a un altro assembly che scrive codice XML non elaborato, questa regola non genera un avviso.

Nota

Esiste un limite configurabile per quanto profonda questa regola analizzerà il flusso di dati tra le chiamate ai metodi. Per informazioni su come configurare il limite in un file EditorConfig, vedere Configurazione dell'analizzatore.

Come correggere le violazioni

Per correggere una violazione, usare una delle tecniche seguenti:

Non scrivere codice XML non elaborato. Utilizzare invece metodi o proprietà che codificano xml il proprio input.
Input con codifica XML prima di scrivere codice XML non elaborato.
Convalidare l'input dell'utente usando i sanificatori per la conversione di tipi primitivi e la codifica XML.

Quando eliminare gli avvisi

Non eliminare gli avvisi da questa regola.

Esempi di pseudo-codice

Violazione

In questo esempio l'input viene impostato sulla InnerXml proprietà dell'elemento radice. Dato l'input che contiene codice XML valido, un utente malintenzionato può quindi modificare completamente il documento. Si noti che alice non è più un utente consentito dopo l'aggiunta dell'input dell'utente al documento.

protected void Page_Load(object sender, EventArgs e)
{
    XmlDocument d = new XmlDocument();
    XmlElement root = d.CreateElement("root");
    d.AppendChild(root);

    XmlElement allowedUser = d.CreateElement("allowedUser");
    root.AppendChild(allowedUser);
    allowedUser.InnerXml = "alice";

    string input = Request.Form["in"];
    root.InnerXml = input;
}

Sub Page_Load(sender As Object, e As EventArgs)
    Dim d As XmlDocument = New XmlDocument()
    Dim root As XmlElement = d.CreateElement("root")
    d.AppendChild(root)

    Dim allowedUser As XmlElement = d.CreateElement("allowedUser")
    root.AppendChild(allowedUser)
    allowedUser.InnerXml = "alice"

    Dim input As String = Request.Form("in")
    root.InnerXml = input
End Sub

Se un utente malintenzionato usa questa opzione per l'input: some text<allowedUser>oscar</allowedUser>, il documento XML sarà:

<root>some text<allowedUser>oscar</allowedUser>
</root>

Soluzione

Per correggere questa violazione, impostare l'input sulla InnerText proprietà dell'elemento radice anziché sulla InnerXml proprietà .

protected void Page_Load(object sender, EventArgs e)
{
    XmlDocument d = new XmlDocument();
    XmlElement root = d.CreateElement("root");
    d.AppendChild(root);

    XmlElement allowedUser = d.CreateElement("allowedUser");
    root.AppendChild(allowedUser);
    allowedUser.InnerText = "alice";

    string input = Request.Form["in"];
    root.InnerText = input;
}

Sub Page_Load(sender As Object, e As EventArgs)
    Dim d As XmlDocument = New XmlDocument()
    Dim root As XmlElement = d.CreateElement("root")
    d.AppendChild(root)

    Dim allowedUser As XmlElement = d.CreateElement("allowedUser")
    root.AppendChild(allowedUser)
    allowedUser.InnerText = "alice"

    Dim input As String = Request.Form("in")
    root.InnerText = input
End Sub

Se un utente malintenzionato usa questa opzione per l'input: some text<allowedUser>oscar</allowedUser>, il documento XML sarà:

<root>some text&lt;allowedUser&gt;oscar&lt;/allowedUser&gt;
<allowedUser>alice</allowedUser>
</root>

Configurare il codice da analizzare

Usare le opzioni seguenti per configurare le parti della codebase in cui eseguire questa regola.

Escludere simboli specifici
Escludere tipi specifici e i relativi tipi derivati

È possibile configurare queste opzioni solo per questa regola, per tutte le regole a cui si applica o per tutte le regole in questa categoria (Sicurezza) a cui si applica. Per altre informazioni, vedere Opzioni di configurazione delle regole di qualità del codice.

Escludere simboli specifici

È possibile escludere simboli specifici, ad esempio tipi e metodi, dall'analisi. Ad esempio, per specificare che la regola non deve essere eseguita in alcun codice all'interno di tipi denominati MyType, aggiungere la coppia chiave-valore seguente a un file con estensione editorconfig nel progetto:

dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType

Formati di nome simbolo consentiti nel valore dell'opzione (separati da |):

Solo nome simbolo (include tutti i simboli con il nome, indipendentemente dal tipo o dallo spazio dei nomi contenitore).
Nomi completi nel formato ID della documentazione del simbolo. Ogni nome di simbolo richiede un prefisso di tipo simbolo, ad esempio M: per i metodi, T: per i tipi e N: per gli spazi dei nomi.
.ctor per costruttori e .cctor per costruttori statici.

Esempi:

Valore opzione	Riepilogo
`dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType`	Corrisponde a tutti i simboli denominati `MyType`.
`dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType1\|MyType2`	Corrisponde a tutti i simboli denominati `MyType1` o `MyType2`.
`dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS.MyType.MyMethod(ParamType)`	Corrisponde a un metodo `MyMethod` specifico con la firma completa specificata.
`dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS1.MyType1.MyMethod1(ParamType)\|M:NS2.MyType2.MyMethod2(ParamType)`	Trova la corrispondenza con metodi `MyMethod1` specifici e `MyMethod2` con le rispettive firme complete.

Escludere tipi specifici e i relativi tipi derivati

È possibile escludere tipi specifici e i relativi tipi derivati dall'analisi. Ad esempio, per specificare che la regola non deve essere eseguita in alcun metodo all'interno di tipi denominati MyType e dei relativi tipi derivati, aggiungere la coppia chiave-valore seguente a un file con estensione editorconfig nel progetto:

dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType