Protection contre les attaques des entités externes XML (XXE)
La protection contre les attaques des entités externes XML (XXE) examine si une charge utile entrante contient des entrées XML non autorisées concernant des entités en dehors du domaine approuvé où réside l’application Web. L’attaque XXE se produit si vous avez un analyseur XML faible qui analyse une charge utile XML avec une entrée contenant des références à des entités externes.
Dans une appliance Citrix ADC, si l’analyseur XML n’est pas correctement configuré, l’exploitation de la vulnérabilité peut avoir un impact dangereux. Il permet à un attaquant de lire des données sensibles sur le serveur Web. Effectuez l’attaque par déni de service, etc. Par conséquent, il est important de protéger l’appliance contre les attaques XXE. Web Application Firewall est capable de protéger l’appliance contre les attaques XXE tant que le type de contenu est identifié comme XML. Pour empêcher un utilisateur malveillant de contourner ce mécanisme de protection, WAF bloque une demande entrante si le type de contenu « inféré » dans les en-têtes HTTP ne correspond pas au type de contenu du corps. Ce mécanisme empêche le contournement de la protection contre les attaques XXE lorsqu’un type de contenu par défaut ou non par défaut est utilisé sur liste blanche.
Voici quelques-unes des menaces XXE potentielles qui affectent une appliance Citrix ADC :
- Fuites de données confidentielles
- Attaques par déni de service (DOS)
- Requêtes de falsification côté serveur
- Analyse des ports
Configurer la protection par injection d’entités externes XML (XXE)
Pour configurer les entités externes XML (XXE), vérifiez à l’aide de l’interface de commande : Dans l’interface de ligne de commande, vous pouvez ajouter ou modifier la commande de profil de pare-feu d’application pour configurer les paramètresXXE. Vous pouvez activer les actions de blocage, de journal et de statistiques.
À l’invite de commandes, tapez :
set appfw profile
Remarque :
Par défaut, l’action XXE est définie comme « aucun. «
Exemple :
set appfw profile profile1 -inferContentTypeXmlPayloadAction Block
Où, les types d’action sont :
Bloc : La requête est bloquée sans exception aux URL de la requête.
Journal : si une incompatibilité entre le type de contenu dans un en-tête de requête HTTP et la charge utile se produit, les informations sur la demande violée doivent figurer dans le message de journal.
Statistiques : Si une incompatibilité entre les types de contenu est détectée, les statistiques correspondantes pour ce type de violation sont incrémentées.
Aucun : aucune action n’est prise si une inadéquation dans les types de contenu est détectée. Aucun ne peut être combiné avec un autre type d’action. L’action par défaut est définie sur Aucun.
Configurer la vérification de l’injection XXE à l’aide de l’interface graphique Citrix ADC
Procédez comme suit pour configurer la vérification de l’injection XXE.
- Accédez àSécurité > Citrix Web App Firewall > Profils.
- Sur la pageProfils, sélectionnez un profil et cliquez surModifier.
Sur la pageProfil du Citrix Web App Firewall, accédez à la sectionParamètres avancéset cliquez surVérifications de sécurité.
- Dans la sectionVérifications de sécurité, sélectionnezInduire le type de contenu XML Charge utileet cliquez sur Paramètresd’action.
Dans la page Infer Content Type XML Payload Settings, définissez les paramètres suivants :
- Actions. Sélectionnez une ou plusieurs actions à effectuer pour le contrôle de sécurité de l’injection XXE.
Cliquez surOK.
Affichage des statistiques sur le trafic d’injection XXE et les violations
La page Statistiques du Citrix Web App Firewall affiche les détails du trafic de sécurité et des violations de sécurité dans un format tabulaire ou graphique.
Pour afficher les statistiques de sécurité à l’aide de l’interface de commande.
À l’invite de commandes, tapez :
stat appfw profile profile1
Affichage des statistiques d’injection XXE à l’aide de l’interface graphique Citrix ADC
Procédez comme suit pour afficher les statistiques d’injection XXE :
- Accédez àSécurité > Citrix Web App Firewall > Profils.
- Dans le volet d’informations, sélectionnez un profil de Web App Firewall et cliquez surStatistiques.
- La pageStatistiques du Citrix Web App Firewallaffiche le trafic d’injection de commandes XXE et les détails de violation.
- Vous pouvez sélectionnerVue tabulaireou passer à lavue graphiquepour afficher les données sous forme de tableau ou graphique.
