XML 처리 모듈
XML 처리 모듈 (XML Processing Modules)
XML 처리를 위한 Python 인터페이스는 xml 패키지로 묶여 있어요.
본문
주의: 신뢰할 수 없거나 인증되지 않은 데이터를 파싱해야 한다면 XML 보안(XML security)을 참고하세요.
xml 패키지의 모듈은 사용 가능한 SAX 호환 XML 파서가 적어도 하나 있어야 한다는 점에 유의하는 것이 중요해요. Expat 파서는 Python에 포함되어 있으므로 xml.parsers.expat 모듈은 항상 사용할 수 있어요.
xml.dom과 xml.sax 패키지의 문서는 DOM과 SAX 인터페이스에 대한 Python 바인딩의 정의예요.
XML 처리 하위 모듈은 다음과 같아요:
- xml.etree.ElementTree — ElementTree API, 간단하고 가벼운 XML 프로세서
- xml.dom — DOM API 정의
- xml.dom.minidom — 최소 DOM 구현
- xml.dom.pulldom — 부분 DOM 트리 구축 지원
- xml.sax — SAX2 기본 클래스와 편의 함수
- xml.parsers.expat — Expat 파서 바인딩
XML 보안 (XML security)
공격자는 공격자가 제어하는 XML이 (Python이나 다른 곳에서) 파싱될 때 XML 기능을 악용해 서비스 거부(denial of service) 공격을 수행하거나, 로컬 파일에 접근하거나, 다른 머신에 네트워크 연결을 생성하거나, 방화벽을 우회할 수 있어요.
Python의 내장 XML 파서는 XML 파싱에 libexpat(보통 Expat이라고 함) 라이브러리에 의존해요. 기본적으로 Expat 자체는 로컬 파일에 접근하거나 네트워크 연결을 만들지 않아요. 2.7.2보다 낮은 Expat 버전은 "billion laughs"(억 번의 웃음), "quadratic blowup"(이차 폭발), "large tokens"(큰 토큰) 취약점이나 동적 메모리의 불균형한 사용에 취약할 수 있어요. Python은 Expat의 사본을 번들로 제공하며, 번들 또는 시스템 전체 Expat을 사용할지는 환경에서 Python 인터프리터가 어떻게 구성되었는지에 따라 달라요. pyexpat.EXPAT_VERSION을 확인하세요.
xmlrpc는 "decompression bomb"(압축 해제 폭탄) 공격에 취약해요.
- billion laughs / exponential entity expansion — 여러 수준의 중첩 엔티티를 사용하는 공격. 각 엔티티는 다른 엔티티를 여러 번 참조하고, 최종 엔티티 정의는 작은 문자열을 포함해요. 지수적 확장으로 수 기가바이트의 텍스트가 되어 많은 메모리와 CPU 시간을 소비해요.
- quadratic blowup entity expansion — billion laughs 공격과 비슷하지만 중첩 엔티티 대신 수천 자의 하나의 큰 엔티티를 반복해요. 지수적 경우만큼 효율적이지는 않지만 깊게 중첩된 엔티티를 금지하는 파서 대응책을 트리거하지 않아요.
- decompression bomb — gzip HTTP 스트림이나 LZMA 압축 파일 같은 압축된 XML 스트림을 파싱할 수 있는 모든 XML 라이브러리에 적용돼요. 공격자에게 전송 데이터 양을 세 자릿수 이상 줄일 수 있어요.
- large tokens — Expat는 미완성 토큰을 다시 파싱해야 해요. Expat 2.6.0에 도입된 보호 장치가 없으면 XML을 파싱하는 애플리케이션에서 서비스 거부를 일으킬 수 있는 이차 런타임으로 이어질 수 있어요. 이 문제는 CVE 2023-52425로 알려져 있어요.