Teilen über

CA3076: Unsichere XSLT-Skriptausführung.

Eigenschaft Wert
Regel-ID CA3076
Titel Unsichere XSLT-Skriptausführung.
Kategorie Security
Fix führt oder führt nicht zur Unterbrechung Nicht unterbrechend
Standardmäßig in .NET 10 aktiviert No

Ursache

Wenn Sie extensible Stylesheets Language Transformations (XSLT) in .NET-Anwendungen unsicher ausführen, löst der Prozessor möglicherweise nicht vertrauenswürdige URI-Verweise auf, die vertrauliche Informationen an Angreifer offenlegen könnten, was zu Denial-of-Service- und websiteübergreifenden Angriffen führt. Weitere Informationen finden Sie unter XSLT Security Considerations (.NET Guide).

Regelbeschreibung

XSLT ist ein W3C-Standard (World Wide Web Consortium) zum Transformieren von XML-Daten. XSLT wird in der Regel verwendet, um Stylesheets zum Transformieren von XML-Daten in andere Formate (z. B. in HTML, Text fester Länge, durch Trennzeichen getrennter Text oder ein anderes XML-Format) zu schreiben. Obwohl dies standardmäßig verboten ist, können Sie es für Ihr Projekt aktivieren.

Um sicherzustellen, dass Sie keine Angriffsfläche bieten, wird diese Regel jedes Mal dann ausgelöst, wenn XslCompiledTransform.Load unsichere Kombinationen aus XsltSettings und XmlResolverempfängt, die die Verarbeitung von bösartigen Skripts zulassen.

Behandeln von Verstößen

  • Ersetzen Sie das unsichere XsltSettings Argument durch XsltSettings.Default oder durch eine Instanz, die die Dokumentfunktion und skriptausführung deaktiviert hat.
  • Ersetzen Sie das XmlResolver -Argument durch „Null“ oder eine XmlSecureResolver -Instanz.

Wann sollten Warnungen unterdrückt werden?

Unterdrücken Sie eine Regel aus dieser Warnung niemals, es sei denn, Sie sind ganz sicher, dass die Eingabe von einer vertrauenswürdigen Quelle stammt.

Unterdrücken einer Warnung

Um nur eine einzelne Verletzung zu unterdrücken, fügen Sie der Quelldatei Präprozessoranweisungen hinzu, um die Regel zu deaktivieren und dann wieder zu aktivieren.

#pragma warning disable CA3076
// The code that's violating the rule is on this line.
#pragma warning restore CA3076

Um die Regel für eine Datei, einen Ordner oder ein Projekt zu deaktivieren, legen Sie den Schweregrad in der none auf fest.

[*.{cs,vb}]
dotnet_diagnostic.CA3076.severity = none

Weitere Informationen finden Sie unter Vorgehensweise: Unterdrücken von Codeanalyse-Warnungen.

Pseudocodebeispiele

Verstoß, bei dem XsltSettings.TrustedXslt verwendet wird

using System.Xml;
using System.Xml.Xsl;

namespace TestNamespace
{
    class TestClass
    {
         void TestMethod()
        {
             XslCompiledTransform xslCompiledTransform = new XslCompiledTransform();
             var settings = XsltSettings.TrustedXslt;
             var resolver = new XmlUrlResolver();
             xslCompiledTransform.Load("testStylesheet", settings, resolver); // warn
        }
    }
}

Lösung, bei der XsltSettings.Default verwendet wird

using System.Xml;
using System.Xml.Xsl;

namespace TestNamespace
{
    class TestClass
    {
        void TestMethod()
        {
            XslCompiledTransform xslCompiledTransform = new XslCompiledTransform();
            var settings = XsltSettings.Default;
            var resolver = new XmlUrlResolver();
            xslCompiledTransform.Load("testStylesheet", settings, resolver);
        }
    }
}

Verstoß – Dokumentationsfunktion und Skriptausführung nicht deaktiviert

using System.Xml;
using System.Xml.Xsl;

namespace TestNamespace
{
    class TestClass
    {
        private static void TestMethod(XsltSettings settings)
        {
            try
            {
                XslCompiledTransform xslCompiledTransform = new XslCompiledTransform();
                var resolver = new XmlUrlResolver();
                xslCompiledTransform.Load("testStylesheet", settings, resolver); // warn
            }
            catch { throw; }
            finally { }
        }
    }
}

Lösung – Deaktivieren der Dokumentationsfunktion und Skriptausführung

using System.Xml;
using System.Xml.Xsl;

namespace TestNamespace
{
    class TestClass
    {
        private static void TestMethod(XsltSettings settings)
        {
            try
            {
                XslCompiledTransform xslCompiledTransform = new XslCompiledTransform();
                settings.EnableDocumentFunction = false;
                settings.EnableScript = false;
                var resolver = new XmlUrlResolver();
                xslCompiledTransform.Load("testStylesheet", settings, resolver);
            }
            catch { throw; }
            finally { }
        }
    }
}

Hinweis

Ab .NET 10 ist die EnableScript Eigenschaft als veraltet gekennzeichnet und generiert Warnungen SYSLIB0062. In .NET (Core) ist es nicht mehr erforderlich, diese Eigenschaft false explizit festzulegen, da die Skriptausführung nicht unterstützt wird.

Siehe auch

  • Last updated on