Merge pull request #118 from yuri-lucena/correcao-de-falha-xxe

Correçao de vulnerabilidade XXE

Author: danilobreda

CTe.Utils/Validacao/Validador.cs

@@ -22,9 +22,13 @@ public static void Valida(string xml, string schema, ConfiguracaoServico configu
             // Define o tipo de validação
             var cfg = new XmlReaderSettings { ValidationType = ValidationType.Schema };
 
+            // Previne ataques XXE: nao permite resolver recursos externos
+            cfg.DtdProcessing = DtdProcessing.Prohibit;
+            cfg.XmlResolver = null;
+
             // Carrega o arquivo de esquema
             var schemas = new XmlSchemaSet();
-            schemas.XmlResolver = new XmlUrlResolver();
+            schemas.XmlResolver = null;
 
             cfg.Schemas = schemas;
             // Quando carregar o schema, especificar o namespace que ele valida

MDFe.Utils/Validacao/Validador.cs

@@ -21,9 +21,13 @@ public static void Valida(string xml, string schema, MDFeConfiguracao cfgMdfe =
             // Define o tipo de validação
             var cfg = new XmlReaderSettings { ValidationType = ValidationType.Schema };
 
+            // Previne ataques XXE: nao permite resolver recursos externos
+            cfg.DtdProcessing = DtdProcessing.Prohibit;
+            cfg.XmlResolver = null;
+
             // Carrega o arquivo de esquema
             var schemas = new XmlSchemaSet();
-            schemas.XmlResolver = new XmlUrlResolver();
+            schemas.XmlResolver = null;
 
             cfg.Schemas = schemas;
             // Quando carregar o eschema, especificar o namespace que ele valida

NFe.Utils/Validacao/Validador.cs

@@ -123,9 +123,13 @@ public static string[] Valida(ServicoNFe servicoNFe, VersaoServico versaoServico
             // Define o tipo de validação
             var cfg = new XmlReaderSettings { ValidationType = ValidationType.Schema };
 
+            // Previne ataques XXE: nao permite resolver recursos externos
+            cfg.DtdProcessing = DtdProcessing.Prohibit;
+            cfg.XmlResolver = null;
+
             // Carrega o arquivo de esquema
             var schemas = new XmlSchemaSet();
-            schemas.XmlResolver = new XmlUrlResolver();
+            schemas.XmlResolver = null;
 
             cfg.Schemas = schemas;
             // Quando carregar o eschema, especificar o namespace que ele valida