Questão de Segurança da Informação — Práticas de Segurança e Ameaças em Programação — CESPE / CEBRASPE 2024

XSS e XXE: vulnerabilidades, não controles

Gabarito: E (Errado). A afirmação está incorreta porque XSS (Cross-site scripting) e entidades externas de XML (XXE) são vulnerabilidades — falhas de segurança que podem ser exploradas por atacantes — e não controles ou boas práticas de desenvolvimento seguro. O que seriam controles são as técnicas de prevenção contra essas falhas, como a validação de entrada e a codificação de saída (output encoding) para XSS, e a desativação do processamento de entidades externas para XXE.

O desenvolvimento seguro é um conjunto de práticas que visa construir software com menos vulnerabilidades. Para entender a questão, é preciso distinguir dois conceitos que frequentemente se confundem: a vulnerabilidade (a falha em si) e o controle (a medida que a previne ou mitiga). XSS e XXE são exemplos clássicos de vulnerabilidades, listadas em catálogos como o OWASP Top 10, que reúne os riscos mais críticos para aplicações web. Elas não são, de forma alguma, práticas recomendadas — são justamente os problemas que as boas práticas buscam eliminar.

XSS (Cross-site scripting) é uma vulnerabilidade que permite a um atacante injetar scripts maliciosos (geralmente JavaScript) em páginas web visualizadas por outros usuários. Isso ocorre quando a aplicação não valida ou não codifica adequadamente as entradas do usuário antes de exibi-las. O ataque pode roubar cookies, sessões, ou até mesmo simular páginas de login para capturar credenciais. A prevenção envolve, entre outras medidas, a validação de entrada (input validation) e a codificação de saída (output encoding), que garantem que o conteúdo fornecido pelo usuário seja tratado como texto e não como código executável.

Entidades externas de XML (XXE) é uma vulnerabilidade que explora o processamento de documentos XML. Quando um parser XML é configurado para processar entidades externas, um atacante pode enviar um documento malicioso que referencia arquivos locais do servidor, como /etc/passwd, ou que realiza requisições a serviços internos (SSRF). A prevenção consiste em desabilitar o processamento de entidades externas nos parsers XML, ou utilizar parsers que não suportem essa funcionalidade por padrão.

A pegadinha da questão está em classificar essas vulnerabilidades como se fossem práticas de segurança. A banca explora a confusão entre o problema e a solução. O candidato que conhece os termos XSS e XXE pode até saber que são temas de segurança, mas precisa perceber que eles representam ameaças, não defesas. As boas práticas de desenvolvimento seguro incluem, por exemplo, a validação de entrada, a codificação de saída, o uso de consultas parametrizadas (contra SQL Injection), a sanitização de dados e a configuração segura de parsers XML.

Item — ❌ Errado

A afirmação "XSS e entidades externas de XML são exemplos de controles e boas práticas para o desenvolvimento seguro" é falsa. XSS e XXE são vulnerabilidades — falhas que permitem ataques. Os controles seriam as medidas preventivas, como a validação de entrada, a codificação de saída (para XSS) e a desativação de entidades externas (para XXE). A banca inverteu o papel: apresentou o problema como se fosse a solução.

Gabarito: E (Errado).