Функция безопасной обработки SAXParserFactory не работает на сервере jboss - PullRequest
Новая
       120

Функция безопасной обработки SAXParserFactory не работает на сервере jboss

0 голосов
/ 24 сентября 2019

Я запускаю приведенный ниже фрагмент кода, чтобы включить функцию безопасной обработки и его работу в API покоя в остальном с использованием сервера tomcat.Но этот же фрагмент кода не работает на сервере JBoss.

Пожалуйста, предложите любой обходной путь / исправление, как я должен исправить XXE injection. 

String strXmlRequest ="<?xml version="1.0"?><!DOCTYPE test[ <!ENTITY demo SYSTEM "D:\\test.text">]>"
SAXParserFactory saxFactory = SAXParserFactory.newInstance();
saxFactory.setFeature(XMLConstants.FEATURE_SECURE_PROCESSING, true);

SAXParser saxParser = saxFactory.newSAXParser();
saxParser.parse(new InputSource(new StringReader(strXmlRequest)), handler );

1 Ответ

1 голос
/ 26 сентября 2019

пытались ли вы: 

  saxFactory.setFeature("http://xml.org/sax/features/external-general-entities", false); 
  saxFactory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);

, как объясняется OWASP XXE Prevention sheet

...