[Bug] Potential Billion Laughs Attack Vector via Unrestricted XML Parsing in `ZeepSchemaHelper`

Offen

#558 erstellt am 12.6.2025 0 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 3/5
Geschätzter Aufwand: 1-2 Tage
Anfängerfreundlichkeit: 45/100

Issue-Typ: Bug
Klarheit: Klar beschrieben
Aktivitätsstatus: Veraltet
Tech-Stack: python
Bereich: security

Rechercherichtung

Beginne in googleads/common.py bei ZeepSchemaHelper, insbesondere bei transport.load(endpoint) und dem Aufruf lxml.etree.fromstring(data). Überprüfe, wie der XML-Parser konfiguriert ist, und ergänze Tests für die gemeldeten Risiken durch Entity-Erweiterung und externen Netzwerkzugriff. Als erledigt gilt die Aufgabe, wenn das Schema weiterhin geladen wird, während nicht vertrauenswürdiges XML weder eine Entity-Erweiterung noch einen Netzwerkzugriff auslösen kann.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Hello Google Ads API Team,

Firstly, thanks so much for your great work!
While using and reviewing the googleads-python-lib, I came across a potential XML parsing issue in the ZeepSchemaHelper class that I'd like to raise for discussion.

I understand that the library is designed to work with trusted WSDL endpoints provided by Google, and this issue is unlikely to be exploitable under normal use. However, for defense-in-depth and potential future-proofing, I wanted to share the finding.

# Affected Source Code: `googleads/common.py`

class ZeepSchemaHelper(GoogleSchemaHelper):
  def __init__(self, endpoint, timeout, proxy_config, namespace_override, cache):
    ...
    transport = _ZeepProxyTransport(timeout, proxy_config, cache)
    
    try:
      data = transport.load(endpoint)  #   [Untrusted Input Source: XML from user-supplied endpoint]
    except requests.exceptions.HTTPError as e:
      raise googleads.errors.GoogleAdsSoapTransportError(str(e))

    self.schema = zeep.xsd.Schema(
        lxml.etree.fromstring(data)    #  [VULNERABILITY SINK: unsafe XML parsing]
    )

This type of attack leverages recursive entity declarations in XML to cause exponential memory usage like the Billion Laughs attack.

We can set

parser = lxml.etree.XMLParser(
    resolve_entities=False,
    load_dtd=False,
    no_network=True
)

to solve this

Vorherrschende Sprache: Python
Sterne: 749
Forks: 967
PR-Merge-Kennzahlen: Keine gemergten PRs in 30 T.

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus googleads/googleads-python-lib

cannot log google ads logging v19 python client Offen

Schwierigkeit 3/5 1-2 Tage Anfängerfreundlichkeit 35/100

googleads/googleads-python-lib#557 · Erstellt am 13.5.2025
Create Native Creative - Issue Offen

Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 25/100

googleads/googleads-python-lib#553 · Erstellt am 28.10.2024
image-package Offen

Schwierigkeit 5/5 Über eine Woche Anfängerfreundlichkeit 10/100

googleads/googleads-python-lib#550 · Erstellt am 16.10.2024
Google Cloud Platform /cloud-code-vscode/issues/938 Offen

Schwierigkeit 1/5 Unter einer Stunde Anfängerfreundlichkeit 1/100

googleads/googleads-python-lib#549 · Erstellt am 07.10.2024
ad unit statement error. Offen

Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 35/100

googleads/googleads-python-lib#546 · Erstellt am 20.8.2024

Alle Issues in googleads/googleads-python-lib