Versiones de Ktor anteriores a 2.3.5

Entorno de reproducción

Esta es mi configuración para reproducir el problema:

• IntelliJ IDEA 2025.2.4
• Ktor 2.3.4
• JDK 21
• SO: Windows 10

XXE explicado

Los documentos XML pueden contener opcionalmente una Definición de Tipo de Documento (DTD), que, entre otras características, permite la definición de entidades XML. Es posible definir una entidad proporcionando una cadena de sustitución en forma de URI. El analizador XML puede acceder al contenido de esta URI e incrustar dicho contenido de nuevo en el documento XML para su posterior procesamiento. Al enviar un archivo XML que define una entidad externa con una URI file://, un atacante puede hacer que la aplicación procesadora lea el contenido de un archivo local.
Por ejemplo, una URI como "file:///c:/winnt/win.ini" designa (en Windows) el archivo C:\Winnt\win.ini, o file:///etc/passwd designa el archivo de contraseñas en sistemas basados en Unix.
(https://cwe.mitre.org/data/definitions/611.html)

Cómo funciona

Se realiza una solicitud POST al endpoint http://localhost:8080/xml.
La solicitud envía un archivo xml, exploit/payloads/xxe-demo-file.xml, que contiene un elemento <!DOCTYPE> en el que se referencia una entidad externa, en este caso exploit/etc/secret.txt.

Potencialmente podría ser cualquier otro archivo del sistema al que el proceso tenga acceso.

xxe-demo-file.xml

El analizador XML (configurado para permitir DTDs) resuelve este elemento y recupera los datos del recurso.

La referencia externa también podría ser una ruta a un endpoint SSRF, o podría apuntar a un archivo grande para ocupar los recursos del sistema (DOS).

Pasos para reproducir

1. Inicie el servidor:

2. La salida debería ser:

3. Envíe el payload XXE usando curl:

Resultado esperado (vulnerable):

Salida en consola: Received: <datos de entidad externa>

Resultado esperado (seguro):

400 Bad Request, o similar (El analizador XML bloquea la Definición de Tipo de Documento)

Evidencia

Ejecutar comando:

Enviar payload XXE usando cURL, y el resultado mostrando el contenido del archivo inyectado:

Severidad

La severidad es alta/crítica. Posible recuperación de archivos locales, ataque SSRF, ataque DoS u otros impactos en el sistema.
Puntaje base NVD: 9.8 CRÍTICO (CVSS v3) (https://nvd.nist.gov/vuln/detail/CVE-2023-45612)

Borrador de guía de prevención para desarrolladores

• Configure el analizador XML para que no resuelva entidades externas. Si se necesitan entidades externas, implemente un XmlResolver personalizado con un tiempo de espera de solicitud, un límite de recuperación de datos y restrinja los recursos que puede recuperar localmente.
• Utilice recursos como la Hoja de referencia de prevención de XXE de OWASP, que cubre la implementación de la prevención de XXE, específicamente para diversas tecnologías.
• Integre SAST en CI, ya que puede encontrar algunas instancias de esta debilidad analizando el código fuente.
• Rastree y analice las versiones de dependencias y las vulnerabilidades.
• Implemente estándares de codificación segura a nivel de empresa.
• Enfatice la integración de la seguridad a lo largo del SDLC, especialmente en las fases de diseño y pruebas del desarrollador.

Referencias

• https://nvd.nist.gov/vuln/detail/CVE-2023-45612
• https://cwe.mitre.org/data/definitions/611.html
• https://capec.mitre.org/data/definitions/221.html
• https://medium.com/@iason.tzortzis/xxe-xml-external-entity-injection-explained-e8be5f1f7cd7
• https://ktor.io/docs/server-create-a-new-project.html#create-project-with-the-ktor-project-generator
• https://www.jetbrains.com/privacy-security/issues-fixed/?product=Ktor
• https://ktor.io/docs/2.3.13/welcome.html
• https://portswigger.net/web-security/xxe#exploiting-xxe-to-retrieve-files
• https://ssojet.com/parse-and-generate-formats/parse-and-generate-xml-in-ktor/
• https://cheatsheetseries.owasp.org/cheatsheets/XML_External_Entity_Prevention_Cheat_Sheet.html
• https://owasp.org/Top10/A05_2021-Security_Misconfiguration/