Entités externes XML (XXE) Protection contre les attaques

Dernière publication : Sep 25, 2026
La protection contre les attaques contre les entités externes XML (XXE) examine si une charge utile entrante contient des entrées XML non autorisées concernant des entités situées en dehors du domaine de confiance dans lequel réside l'application Web. L'attaque XXE se produit si vous disposez d'un analyseur XML faible qui analyse une charge utile XML dont l'entrée contient des références à des entités externes.
Dans une appliance Citrix ADC, si l'analyseur XML n'est pas correctement configuré, l'exploitation de la vulnérabilité peut avoir un impact dangereux. Il permet à un attaquant de lire des données sensibles sur le serveur Web. Effectuez l'attaque par déni de service, etc. Par conséquent, il est important de protéger l'appliance contre les attaques XXE. Web Application Firewall est capable de protéger l'appliance contre les attaques XXE tant que le type de contenu est identifié comme XML. Pour empêcher un utilisateur malveillant de contourner ce mécanisme de protection, WAF bloque une demande entrante si le type de contenu « inféré » dans les en-têtes HTTP ne correspond pas au type de contenu du corps. Ce mécanisme empêche le contournement de la protection contre les attaques XXE lorsqu'un type de contenu par défaut ou non par défaut est utilisé sur liste blanche.
Voici quelques-unes des menaces XXE potentielles qui affectent une appliance Citrix ADC :
  • Fuites de données confidentielles
  • Attaques par déni de service (DOS)
  • demandes de falsification côté serveur
  • Analyse des ports
Related information

Configurer la protection par injection d'entités externes XML (XXE)

Pour configurer les entités externes XML (XXE), vérifiez à l'aide de l'interface de commande : Dans l'interface de ligne de commande, vous pouvez ajouter ou modifier la commande de profil de pare-feu d'application pour configurer les paramètres XXE. Vous pouvez activer les actions de blocage, de journalisation et de statistiques.
À l'invite de commandes, tapez :
set appfw profile <name> [-inferContentTypeXmlPayloadAction <inferContentTypeXmlPayloadAction <block | log | stats | none>]
Remarque :
Par défaut, l'action XXE est définie comme « aucun. «
Exemple :
set appfw profile profile1 -inferContentTypeXmlPayloadAction Block
Où, les types d'actions sont les suivants :
Bloquer : la demande est bloquée sans exception en ce qui concerne les URL qu'elle contient.
Journal : en cas de non-concordance entre le type de contenu d'un en-tête de requête HTTP et la charge utile, les informations relatives à la demande non conforme doivent figurer dans le message du journal.
Statistiques : si une incompatibilité entre les types de contenu est détectée, les statistiques correspondantes pour ce type de violation sont incrémentées.
Aucune : aucune action n'est entreprise si une incompatibilité entre les types de contenu est détectée. Aucune ne peut être combinée avec aucun autre type d'action. L'action par défaut est définie sur Aucune.

Configurer le contrôle d'injection XXE à l'aide de l'interface graphique Citrix ADC

Procédez comme suit pour configurer le contrôle d'injection XXE.
  1. Accédez à Sécurité > Citrix Web App Firewall > Profils.
  2. Sur la page Profils, sélectionnez un profil et cliquez sur Modifier.
  3. Sur la page de profil du Citrix Web App Firewall, accédez à la section Paramètres avancés et cliquez sur Contrôles de sécurité.
  4. Dans la section Contrôles de sécurité, sélectionnez Déduire la charge utile XML du type de contenu et cliquez sur Paramètres d'action.
  5. Dans la page Infer Content Type XML Payload Settings, définissez les paramètres suivants :
    1. Des actions. Sélectionnez une ou plusieurs actions à effectuer pour le contrôle de sécurité de l'injection XXE.
  6. Cliquez sur OK.

Affichage des statistiques relatives au trafic d'injection XXE et aux infractions

La page Statistiques du Citrix Web App Firewall affiche les détails du trafic de sécurité et des violations de sécurité sous forme de tableau ou de graphique.
Pour afficher les statistiques de sécurité à l'aide de l'interface de commande.
À l'invite de commandes, tapez :
stat appfw profile profile1

Affichage des statistiques d'injection XXE à l'aide de l'interface graphique Citrix ADC

Procédez comme suit pour afficher les statistiques d'injection XXE :
  1. Accédez à Sécurité > Citrix Web App Firewall > Profils.
  2. Dans le volet d'informations, sélectionnez un profil de Web App Firewall et cliquez sur Statistiques.
  3. La page Statistiques du Citrix Web App Firewall affiche le trafic d'injection de commandes XXE et les détails des violations.
  4. Vous pouvez sélectionner la vue tabulaire ou passer à la vue graphique pour afficher les données sous forme de tableau ou de graphique.