XXE（XML外部実体参照攻撃）とは？えっくすえむえるがいぶじったいさんしょうこうげき
XXE（XML外部実体参照攻撃）とは、XMLの外部実体参照（DTDで外部ファイルやURLを実体として取り込む機能）を悪用し、サーバ内のファイル読み出しや内部宛通信、リソース枯渇を起こす攻撃。データ交換にXMLを使う基幹連携やSAML認証の実装で問題になりやすい。
最終更新：2026-10-06
応用情報を最短で暗記・合格する →具体例
取引先から受け取る発注XMLに、実体としてサーバ上の設定ファイルを参照する宣言を仕込まれ、応答メッセージにその中身が混ざって返る。対策はパーサ設定で外部実体とDTD処理を無効化すること。実体を再帰させる増幅型のDoSも同じ設定で防げる。
試験での引っ掛け
「スキーマ検証をすれば安全」は誤り。検証前の解析段階で実体が展開されるため防げない。またJSONに切り替えれば起きないが、既存のXML連携ではパーサの既定値が有効なままの製品もある点に注意する。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。