#913 DataSpider Servista に XML外部実体参照（XXE）に関する脆弱性

今回はDataSpider Servistaに関するXML外部実体参照、いわゆるXXEの脆弱性についてお伝えします。リスナーの皆さんにはXXEがどういう仕組みで影響を与えるのか、実務で取るべき優先対応と確認方法を具体的に理解していただけます。特にデータ連携ソフトを運用している方は直ちに対処すべきポイントが分かる内容です。

DataSpider Servistaのバージョン4.4およびそれ以前にXML外部実体参照の脆弱性が確認されました。攻撃者が細工したXMLを送ると、サーバにインストールされたファイルシステム上の任意ファイルが読み取られる危険性があり、最悪の場合サービス運用妨害が発生します。報告者は外部の研究者で、JVNは開発元の情報に基づき最新版へのアップデートを強く推奨しています。影響としては機密ファイルの漏えいと稼働停止リスクがあり、優先対策は公式パッチの適用です。パッチ適用が困難な場合はXMLパーサの外部実体参照を無効化する設定を行い、アプリケーションやミドルウェアのアクセス制御を強化し、通信の監視とログの収集で不審なリクエストを検知する運用を追加することが求められます。

XXEはXML文書の仕様を悪用する攻撃です。XMLには外部のリソースを参照する機能があり、これを有効にしたパーサが悪意ある外部実体を解決すると、サーバ上のファイルや内部ネットワークのリソースにアクセスされます。結果として機密情報の漏えいや外部リクエストによる遅延が発生します。リスクはXMLを受け取る処理があるシステム全般にあり、入力検証と外部実体の無効化が基本対策です。

具体的にはサーバに保存された設定ファイルや認証情報が読み取られ、そこから横展開してさらなる侵害につながる恐れがあります。読み取りだけでなく特定条件でパーサが無限ループや大きなリソース消費を引き起こしサービス停止につながることもあります。被害はデータの機密性と可用性の両方に及び得るため迅速な対応が必要です。

まず公式ベンダーから提供された最新版へ速やかにアップデートしてください。アップデートが直ちにできない場合は、XMLパーサの設定で外部実体参照と外部エンティティの解決を無効化する設定に変更してください。またXMLを受け取る前段で入力を検証し、不要なXML処理を避けるために受信するデータ形式を制限することが有効です。さらにアクセス制御でアプリケーションからのファイルアクセスやネットワークアクセスを最小権限にしてください。

検証はまず公式パッチ適用後に既知の攻撃シグネチャやペイロードを用いたテストを非公開環境で実施して問題が解消されているか確認します。加えて実運用環境ではログを収集して異常なXMLリクエストや外向き接続を監視し、侵害の痕跡がないかを調べてください。変更が難しい場合はネットワークレベルで不審なリクエストを遮断するルールを導入することも検討してください。

組織は入力検証やライブラリの安全設定を標準化し、サードパーティ製品の脆弱性情報を継続的に監視して速やかに適用する体制を整えるべきです。開発と運用の連携を強化し、定期的なセキュリティテストとログの監査を運用に組み込むことが重要です。最後に最小権限の原則とネットワーク分離を実践すれば被害拡大を防げます。