Analizadores XML: entidades externas y configuración segura

Un documento XML puede traer, antes de su contenido, una declaración de tipo de documento: un bloque que define entidades, es decir, nombres que el analizador reemplaza por un texto mientras lee. Las entidades pueden ser internas —el texto está ahí mismo— o apuntar a un recurso externo, y entonces el analizador, si está configurado para hacerlo, va a buscarlo antes de entregar el árbol al programa.

Ahí está el fallo: el programa cree que recibe datos y en realidad le ha dado al documento la potestad de decirle qué otros recursos leer. MITRE lo recoge como CWE-611, de nivel base, sobre la restricción indebida de la referencia a entidades externas. Las consecuencias típicas no son un error de sintaxis, sino lecturas de recursos que el servicio no debería tocar, peticiones salientes que nadie pidió y procesos que se quedan esperando.

La configuración segura, en la hoja de referencia de OWASP sobre el tema, se resume en rechazar la declaración de tipo de documento cuando el formato no la necesita, y, si de verdad la necesita, no resolver nada externo. Cada biblioteca lo expresa a su manera: una característica del constructor en Java, opciones de carga en las bibliotecas basadas en libxml, o una biblioteca envoltorio en Python que ya viene con la decisión tomada.

Abre el laboratorio y lee la carpeta tinajal-xml. El cargador de reportes de medición usa una biblioteca basada en libxml y pasa dos opciones al cargar el documento. Una de ellas es la que hace que el analizador reemplace las entidades por lo que declaran en vez de dejarlas intactas.

Un informe que solo lista lo roto obliga al equipo a inventar la solución. En este repositorio no hace falta: uno de los importadores ya configura su analizador para rechazar la declaración de tipo de documento, y sirve de modelo para el otro que usa la misma biblioteca.

Para priorizar hace falta saber cuántos puntos hay, no cuántos se vieron fallar. Revisa los cuatro servicios del inventario y cuenta los que analizan XML sin rechazar la declaración de tipo de documento, vengan de donde vengan sus archivos.

Dos servicios comparten el mismo defecto de configuración y no merecen la misma prioridad. Uno recibe archivos que suben los contratistas desde fuera; el otro recibe el archivo del banco por un canal cerrado, y ahí el defecto es una deuda que hay que cerrar, no una puerta abierta. El informe dice las dos cosas: el mismo arreglo para ambos, distinto plazo.