XML外部実体参照（XXE）とは？
XML外部実体参照（XXE）とは、XMLの文書型定義で外部実体を宣言できる仕様を悪用し、パーサにローカルファイルや内部ネットワークの資源を読み込ませる攻撃。設定ファイルや鍵の窃取、内部宛のリクエスト発行、実体の再帰的な展開による資源枯渇に使われる。
えっくすえむえるがいぶじったいさんしょう
XML外部実体参照（XXE）の意味
XMLの文書型定義で外部実体を宣言できる仕様を悪用し、パーサにローカルファイルや内部ネットワークの資源を読み込ませる攻撃。設定ファイルや鍵の窃取、内部宛のリクエスト発行、実体の再帰的な展開による資源枯渇に使われる。
XML外部実体参照（XXE）の具体例
帳票取り込み機能へ、外部実体としてサーバ上の設定ファイルを参照するXMLを投入し、その内容を応答本文に含めさせて読み出す。対策はパーサ設定で外部実体とDTDの処理を無効化することで、これはアプリ側のコードではなくパーサ初期化の1箇所で決まる。
XML外部実体参照（XXE）は試験でどう引っ掛けられる？
「XMLを受け付けていない」つもりでも、文書ファイルや設定ファイル、SVG画像、SOAP連携などの内部でXMLが解析されている場合がある。またパーサの既定値が安全でない実装が多く、ライブラリ更新で既定が変わることもあるため明示指定が要る。入力値の文字列検査では防げず、解析器の設定で外部実体とDTDそのものを無効化するのが唯一の対策で、「特に設定していない＝危険」と考えるのが正しい。
XML外部実体参照（XXE）と関連する用語
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。