CA3075:安全ではない DTD の処理

[アーティクル]
06/01/2023

プロパティ	値
ルール ID	CA3075
Title	安全ではない DTD の処理
[カテゴリ]	Security
修正が中断か中断なしであるか	なし
.NET 8 では既定で有効	いいえ

原因

安全ではない DtdProcessing インスタンスを使用する場合、または外部エンティティソースを参照する場合、パーサーは信頼されていない入力を受け入れ、攻撃者に機密情報を漏えいしてしまう可能性があります。

規則の説明

ドキュメント型定義 (DTD) は、W3C (World Wide Web Consortium) の拡張マークアップ言語 (XML) 1.0 で定義されているように、XML パーサーが文書の妥当性を判別する 2 つの方法のうちの 1 つです。この規則は、信頼されていないデータを受け入れてしまうプロパティとインスタンスを検索し、潜在的な情報漏えいの脅威またはサービス拒否 (DoS) 攻撃について開発者に警告します。このルールは、次の場合にトリガーされます。

XmlReader を使用して外部 XML エンティティを解決する XmlUrlResolverインスタンスで、DtdProcessing が有効になっている。
XML で InnerXml プロパティが設定されている。
DtdProcessing プロパティが Parse に設定されている。
信頼されていない入力が XmlSecureResolver ではなく XmlResolver を使用して処理される。
XmlReader.Create メソッドが安全ではない XmlReaderSettings インスタンスで呼び出される。またはインスタンスがまったくない。
XmlReader が安全ではない既定の設定または値で作成されている。

これらのケースはいずれも、結果は同じになります。XML を処理するマシンが共有するファイルシステム、またはネットワークからのコンテンツが攻撃者にさらされ、DTD 処理が DoS の媒介として使用される可能性があります。

違反の修正方法

パス情報の漏えいを防ぐために、XmlTextReader 例外をすべてキャッチし、適切に処理します。
XmlSecureResolver を使用して、XmlTextReader がアクセスできるリソースを制限します。
XmlReader プロパティを XmlResolver null に設定して、がどの外部リソースも開けないようにします。
DataViewManager.DataViewSettingCollectionString プロパティが信頼できるソースから割り当てられていることを確認します。

.NET Framework 3.5 以前

信頼されていないソースを扱う場合には、ProhibitDtd プロパティを true に設定して、DTD 処理を無効にします。
XmlTextReader クラスには、完全信頼の継承確認要求があります。

.NET Framework 4 以降

信頼されていないソースを扱う場合には、XmlReaderSettings.DtdProcessing プロパティを Prohibit または Ignore に設定して、DtdProcessing を有効にしないようにします。
すべての InnerXml ケースで、Load() メソッドが XmlReader インスタンスを取ることを確認します。

注意

このルールは、有効な XmlSecureResolver インスタンスについて誤検知を報告することがあります。

どのようなときに警告を抑制するか

入力が信頼できるソースからのものとわかっているのでない限り、この警告からのルールを抑制しないでください。

警告を抑制する

単一の違反を抑制するだけの場合は、ソースファイルにプリプロセッサディレクティブを追加して無効にしてから、規則をもう一度有効にします。

#pragma warning disable CA3075
// The code that's violating the rule is on this line.
#pragma warning restore CA3075

ファイル、フォルダー、またはプロジェクトの規則を無効にするには、構成ファイルでその重要度を none に設定します。

[*.{cs,vb}]
dotnet_diagnostic.CA3075.severity = none

詳細については、「コード分析の警告を抑制する方法」を参照してください。

疑似コードの例

違反 1

using System.IO;
using System.Xml.Schema;

class TestClass
{
    public XmlSchema Test
    {
        get
        {
            var src = "";
            TextReader tr = new StreamReader(src);
            XmlSchema schema = XmlSchema.Read(tr, null); // warn
            return schema;
        }
    }
}

解決策 1

using System.IO;
using System.Xml;
using System.Xml.Schema;

class TestClass
{
    public XmlSchema Test
    {
        get
        {
            var src = "";
            TextReader tr = new StreamReader(src);
            XmlReader reader = XmlReader.Create(tr, new XmlReaderSettings() { XmlResolver = null });
            XmlSchema schema = XmlSchema.Read(reader , null);
            return schema;
        }
    }
}

違反 2

using System.Xml;

namespace TestNamespace
{
    public class TestClass
    {
        public XmlReaderSettings settings = new XmlReaderSettings();
        public void TestMethod(string path)
        {
            var reader = XmlReader.Create(path, settings);  // warn
        }
    }
}

解決策 2

using System.Xml;

namespace TestNamespace
{
    public class TestClass
    {
        public XmlReaderSettings settings = new XmlReaderSettings()
        {
            DtdProcessing = DtdProcessing.Prohibit
        };

        public void TestMethod(string path)
        {
            var reader = XmlReader.Create(path, settings);
        }
    }
}

違反 3

using System.Xml;

namespace TestNamespace
{
    public class DoNotUseSetInnerXml
    {
        public void TestMethod(string xml)
        {
            XmlDocument doc = new XmlDocument() { XmlResolver = null };
            doc.InnerXml = xml; // warn
        }
    }
}

using System.Xml;

namespace TestNamespace
{
    public class DoNotUseLoadXml
    {
        public void TestMethod(string xml)
        {
            XmlDocument doc = new XmlDocument(){ XmlResolver = null };
            doc.LoadXml(xml); // warn
        }
    }
}

解決策 3

using System.Xml;

public static void TestMethod(string xml)
{
    XmlDocument doc = new XmlDocument() { XmlResolver = null };
    System.IO.StringReader sreader = new System.IO.StringReader(xml);
    XmlReader reader = XmlReader.Create(sreader, new XmlReaderSettings() { XmlResolver = null });
    doc.Load(reader);
}

違反 4

using System.IO;
using System.Xml;
using System.Xml.Serialization;

namespace TestNamespace
{
    public class UseXmlReaderForDeserialize
    {
        public void TestMethod(Stream stream)
        {
            XmlSerializer serializer = new XmlSerializer(typeof(UseXmlReaderForDeserialize));
            serializer.Deserialize(stream); // warn
        }
    }
}

解決策 4

using System.IO;
using System.Xml;
using System.Xml.Serialization;

namespace TestNamespace
{
    public class UseXmlReaderForDeserialize
    {
        public void TestMethod(Stream stream)
        {
            XmlSerializer serializer = new XmlSerializer(typeof(UseXmlReaderForDeserialize));
            XmlReader reader = XmlReader.Create(stream, new XmlReaderSettings() { XmlResolver = null });
            serializer.Deserialize(reader );
        }
    }
}

違反 5

using System.Xml;
using System.Xml.XPath;

namespace TestNamespace
{
    public class UseXmlReaderForXPathDocument
    {
        public void TestMethod(string path)
        {
            XPathDocument doc = new XPathDocument(path); // warn
        }
    }
}

解決策 5

using System.Xml;
using System.Xml.XPath;

namespace TestNamespace
{
    public class UseXmlReaderForXPathDocument
    {
        public void TestMethod(string path)
        {
            XmlReader reader = XmlReader.Create(path, new XmlReaderSettings() { XmlResolver = null });
            XPathDocument doc = new XPathDocument(reader);
        }
    }
}

違反 6

using System.Xml;

namespace TestNamespace
{
    class TestClass
    {
        public XmlDocument doc = new XmlDocument() { XmlResolver = new XmlUrlResolver() };
    }
}

解決策 6

using System.Xml;

namespace TestNamespace
{
    class TestClass
    {
        public XmlDocument doc = new XmlDocument() { XmlResolver = null }; // or set to a XmlSecureResolver instance
    }
}

違反 7

using System.Xml;

namespace TestNamespace
{
    class TestClass
    {
        private static void TestMethod()
        {
            var reader = XmlTextReader.Create(""doc.xml""); //warn
        }
    }
}

using System.Xml;

namespace TestNamespace
{
    public class TestClass
    {
        public void TestMethod(string path)
        {
            try {
                XmlTextReader reader = new XmlTextReader(path); // warn
            }
            catch { throw ; }
            finally {}
        }
    }
}

解決策 7

using System.Xml;

namespace TestNamespace
{
    public class TestClass
    {
        public void TestMethod(string path)
        {
            XmlReaderSettings settings = new XmlReaderSettings() { XmlResolver = null };
            XmlReader reader = XmlReader.Create(path, settings);
        }
    }
}

注意

XmlReader.Create は XmlReader インスタンスを作成するために推奨される方法ですが、XmlTextReader とは異なる動作をします。 Create からのXmlReader は、XML 値内で \r\n を \n に正規化しますが、XmlTextReader は \r\n シーケンスを保持します。

次の方法で共有