إثبات ثغرة XXE في : libxml2

في هذا العرض العملي نقدم إثبات مفهوم (PoC) لثغرة XML External Entity (XXE) تؤثر على مكتبة libxml2 والواجهات الشائعة المرتبطة بها (PHP DOM وPython lxml/ET). أثناء الاستغلال كانت الـ XML Parser مُفعَّلة بالكامل مع إعدادات شائعة لكنها غير آمنة — وهي التي تتيح تحميل ومعالجة DTD والكيانات الخارجية. نتيجة ذلك تمكنا من قراءة ملفات حسّاسة مثل /etc/passwd وتنفيذ أوامر نظامية في بيئات تطبيقية فعلية.

النقاط الأساسية :
في استغلال libxml2 المباشر تم تفعيل الخيارات:
XML_PARSE_NOENT | XML_PARSE_DTDLOAD | XML_PARSE_DTDATTR،
مما أتاح تحليل وتحويل الكيانات الخارجية وقراءة ملفات النظام بسرعة عالية (PoC أظهر قراءة /etc/passwd في وقت قياسي).

في خوادم PHP وPython استخدمت إعدادات موازية
(LIBXML_NOENT | LIBXML_DTDLOAD في PHP وload_dtd=True , resolve_entities=True في Python) — مما يبرهن أن التطبيقات الحقيقية التي تعتمد الإعدادات الافتراضية أو الشائعة معرضة للخطر.

الفروق الزمنية بين التنفيذ المباشر والمُستضاف توضح أن الثغرة متجذرة في سلوك المكتبة نفسها وليس في الشبكة أو البنية التحتية.

الخلاصة :
البارسر في هذه الحالات لم يكن "مُعطلاً" أو "متجاوزاً" — بل عمل كما هو مصمم، والإعدادات الشائعة جعلت الوظائف المفيدة (مثل تحميل DTD وحل الكيانات) تتحول إلى طريق للاستغلال.

Видео إثبات ثغرة XXE في : libxml2 канала Oqba_Elkantara