Perché i programmi di posta elettronica bloccano i file xml?

Possibili attacchi basati su XML sono:

1. Bomba XML ( alias di Billion LOLs ). Questo è un file XML che utilizza un'usanza ricorsiva definizione del tipo di entità per attaccare un parser XML vulnerabile. La bomba XML ha una dimensione molto piccola sul disco, ma si ingrandisce quando viene analizzata, potenzialmente esaurendo la memoria disponibile sul dispositivo delle vittime.
2. Tipo di entità esterna che potrebbe non restituire . In questo caso l'XML documento definisce un tipo di entità esterna in un URL che non risponde o risponde lentamente. Ciò potrebbe causare un DoS sul dispositivo delle vittime.
3. Tipo di entità esterna che espone informazioni sensibili. Questo è simile al punto 2 (ed è spiegato allo stesso link), ma in questo caso il tipo di entità esterna tenta di esporre file locali sensibili (ad esempio file:///etc/passwd )

Se uno di questi attacchi può avere successo dipende dal parser XML installato sul computer locale. Penso che le applicazioni come le versioni più recenti di IE, Firefox ecc. Proteggano da queste, ma versioni più vecchie o alcuni software personalizzati potrebbero essere vulnerabili.

Un utente malintenzionato può utilizzare un file XML per ragioni nefaste e, come hai chiesto se qualcosa del genere si è verificato in passato, ci sono stati esempi di tali file allegati XML dannosi in passato.

In realtà, l'attacco che ho menzionato è recente e fatto entro la fine di febbraio 2015, in cui alle aziende viene inviato uno spam con un file XML dannoso allegato:

QuestoallegatoèundocumentoXMLdiMicrosoftWord;MicrosofthaungestorespecialeperifileXMLchesceglieràl'applicazionepergestirliinbasealrilevamentodeicontenuti,comedescritto qui , quindi fare doppio clic su di esso può portare MS Word ad essere eseguito e quindi caricare i macro dannosi incorporati al suo interno . Ecco il diagramma che mostra come è stato memorizzato il documento dannoso:

source

Se bloccano l'HTML allora ha anche senso bloccare XML perché può essere trasformato usando XSLT in XHTML (la trasformazione è supportata da tutti i browser recenti che passano il test Acid3) che è praticamente (specialmente per quanto riguarda la sicurezza) come normale HTML.