CWE一覧に戻る
CWE-776

DTD(「XMLエンティティ拡張」)における再帰的エンティティ参照の不適切な制限

Improper Restriction of Recursive Entity References in DTDs ('XML Entity Expansion')
脆弱性 レビュー中
JA

この製品はXML文書を使用し、その構造を文書型定義(DTD)で定義することができるが、エンティティの再帰定義の数を適切に制御できない。

DTDに入れ子になったエンティティや再帰的なエンティティが多数含まれている場合、解析時にデータが爆発的に増大し、サービス拒否を引き起こす可能性がある。

EN

The product uses XML documents and allows their structure to be defined with a Document Type Definition (DTD), but it does not properly control the number of recursive definitions of entities.

If the DTD contains a large number of nested or recursive entities, this can lead to explosive growth of data when parsed, causing a denial of service.

Scope: Availability / Impact: DoS: Resource Consumption (Other)
If possible, prohibit the use of DTDs or use an XML parser that limits the expansion of recursive DTD entities.
Before parsing XML files with associated DTDs, scan for recursive entity declarations and do not continue parsing potentially explosive content.
MITRE公式ページ — CWE-776