CA3009: Examinar código quanto a vulnerabilidades de injeção de XML

Artigo
02/01/2024

Property	Valor
ID da regra	CA3009
Título	Examinar código quanto a vulnerabilidades de injeção de XML
Categoria	Segurança
Correção interruptiva ou sem interrupção	Sem interrupção
Habilitado por padrão no .NET 9	Não

Causa

A entrada de solicitação HTTP potencialmente não confiável atinge uma saída XML.

Por padrão, essa regra analisa toda a base de código, mas isso é configurável.

Descrição da regra

Ao trabalhar com entradas não confiáveis, tenha atenção quanto a ataques de injeção de XML. Um invasor pode usar injeção de XML para inserir caracteres especiais em um documento XML, tornando-o inválido. Ou, um invasor pode inserir, de sua escolha, nós XML mal-intencionados.

Essa regra tenta localizar a entrada de solicitações HTTP que atingem uma gravação de XML bruto.

Observação

Essa regra não é capaz de rastrear dados em assemblies. Por exemplo, se um assembly ler e transmitir a entrada da solicitação HTTP a outro que faça a gravação de um XML bruto, essa regra não produzirá nenhum aviso.

Observação

Há um limite configurável para a profundidade com que essa regra analisa o fluxo de dados nas chamadas de método. Consulte Configuração do analisador para saber como configurar o limite em um arquivo EditorConfig.

Como corrigir violações

Para corrigir uma violação, use uma das técnicas a seguir:

Não grave XML bruto. Em vez disso, use métodos ou propriedades que codificam sua entrada em XML.
Codificar a entrada do XML antes de gravar o XML bruto.
Valide a entrada do usuário usando sanitizadores para conversão de tipos primitivos e codificação XML.

Quando suprimir avisos

Não suprima avisos dessa regra.

Exemplos de pseudocódigo

Violação

Neste exemplo, a entrada é definida para a propriedade InnerXml do elemento raiz. Com uma entrada que contém um XML válido, um usuário mal-intencionado pode alterar completamente o documento. Observe que alice não é mais um usuário permitido após a entrada do usuário ser adicionada ao documento.

protected void Page_Load(object sender, EventArgs e)
{
    XmlDocument d = new XmlDocument();
    XmlElement root = d.CreateElement("root");
    d.AppendChild(root);

    XmlElement allowedUser = d.CreateElement("allowedUser");
    root.AppendChild(allowedUser);
    allowedUser.InnerXml = "alice";

    string input = Request.Form["in"];
    root.InnerXml = input;
}

Sub Page_Load(sender As Object, e As EventArgs)
    Dim d As XmlDocument = New XmlDocument()
    Dim root As XmlElement = d.CreateElement("root")
    d.AppendChild(root)

    Dim allowedUser As XmlElement = d.CreateElement("allowedUser")
    root.AppendChild(allowedUser)
    allowedUser.InnerXml = "alice"

    Dim input As String = Request.Form("in")
    root.InnerXml = input
End Sub

Se um invasor usar isso para entrada: some text<allowedUser>oscar</allowedUser>, o documento XML será:

<root>some text<allowedUser>oscar</allowedUser>
</root>

Solução

Para corrigir essa violação, defina a entrada para a propriedade InnerText do elemento raiz em vez da propriedade InnerXml.

protected void Page_Load(object sender, EventArgs e)
{
    XmlDocument d = new XmlDocument();
    XmlElement root = d.CreateElement("root");
    d.AppendChild(root);

    XmlElement allowedUser = d.CreateElement("allowedUser");
    root.AppendChild(allowedUser);
    allowedUser.InnerText = "alice";

    string input = Request.Form["in"];
    root.InnerText = input;
}

Sub Page_Load(sender As Object, e As EventArgs)
    Dim d As XmlDocument = New XmlDocument()
    Dim root As XmlElement = d.CreateElement("root")
    d.AppendChild(root)

    Dim allowedUser As XmlElement = d.CreateElement("allowedUser")
    root.AppendChild(allowedUser)
    allowedUser.InnerText = "alice"

    Dim input As String = Request.Form("in")
    root.InnerText = input
End Sub

Se um invasor usar isso para entrada: some text<allowedUser>oscar</allowedUser>, o documento XML será:

<root>some text&lt;allowedUser&gt;oscar&lt;/allowedUser&gt;
<allowedUser>alice</allowedUser>
</root>

Configurar código para analisar

Use as opções a seguir para configurar em quais partes da base de código essa regra deve ser executada.

Excluir símbolos específicos
Excluir tipos específicos e seus tipos derivados

Você pode configurar essas opções apenas para essa regra, para todas as regras às quais ela se aplica ou para todas as regras nessa categoria (Segurança) às quais ela se aplica. Para saber mais, confira Opções de configuração de regra de qualidade de código.

Excluir símbolos específicos

Você pode excluir da análise símbolos específicos, como tipos e métodos. Por exemplo, para especificar que a regra não deve ser executada em nenhum código dentro de tipos nomeados MyType, adicione o seguinte par chave-valor a um arquivo .editorconfig no seu projeto:

dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType

Formatos de nome de símbolo permitidos no valor da opção (separados por |):

Somente nome do símbolo (inclui todos os símbolos com o nome, independentemente do tipo ou namespace que contém).
Nomes totalmente qualificados no formato de ID de documentação do símbolo. Cada nome de símbolo requer um prefixo do tipo símbolo, como M: para métodos, T: para tipos e N: para namespaces.
.ctor para construtores e .cctor para construtores estáticos.

Exemplos:

Valor de Opção	Resumo
`dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType`	Corresponde a todos os símbolos nomeados `MyType`.
`dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType1\|MyType2`	Corresponde a todos os símbolos nomeados `MyType1` ou `MyType2`.
`dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS.MyType.MyMethod(ParamType)`	Corresponde ao método `MyMethod` específico com a assinatura totalmente qualificada especificada.
`dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS1.MyType1.MyMethod1(ParamType)\|M:NS2.MyType2.MyMethod2(ParamType)`	Corresponde aos métodos `MyMethod1` e `MyMethod2` específico com as assinaturas respectivas totalmente qualificadas.

Excluir tipos específicos e seus tipos derivados

Você pode excluir tipos específicos e seus tipos derivados da análise. Por exemplo, para especificar que a regra não deve ser executada em nenhum método dentro de tipos nomeados MyType e seus tipos derivados, adicione o seguinte par chave-valor a um arquivo .editorconfig no seu projeto:

dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType