概要
thinkgem JeeSiteのバージョン5.15.1以前に、XML外部実体参照（XXE: XML External Entity）の脆弱性（CVE-2026-3404）が報告されています。この脆弱性は、システムが外部のXMLエンティティを不適切に処理することにより発生し、リモートからの攻撃につながる可能性があります。
影響範囲
- 影響を受ける製品: thinkgem JeeSite バージョン5.15.1以前
- 影響を受けるコンポーネント: Endpointコンポーネント内のファイル
/com/jeesite/common/shiro/cas/CasOutHandler.java
想定される影響
この脆弱性が悪用された場合、攻撃者はシステム上の機密情報を読み取ったり、内部ネットワークへのアクセスを試みたり、場合によってはサービス拒否（DoS）攻撃を引き起こしたりする可能性があります。XML外部実体参照は、サーバーサイドリクエストフォージェリ（SSRF）やポートスキャンなど、他の攻撃手法と組み合わせて利用されることもあります。
攻撃成立条件・悪用状況
- 攻撃はリモートから実行される可能性があります。
- 攻撃の複雑性は「非常に高い」と評価されており、悪用は「困難」とされています。
- しかし、既にエクスプロイトコードが公開されていると報告されており、注意が必要です。
- ベンダー（thinkgem）には早期に情報が提供されたものの、現時点では応答がないとされています。
推奨対策
今すぐできる対策（優先度：高）
- ベンダーからのアップデート適用: 現時点ではベンダーからの公式パッチは提供されていないようですが、今後の情報に注意し、提供され次第速やかに適用することを強く推奨します。
- XMLパーサーの安全な設定: アプリケーションで使用しているXMLパーサーが、外部実体参照（External Entities）やDTD（Document Type Definition）の処理を無効化するよう設定されているか確認してください。特に、
javax.xml.XMLConstants.FEATURE_SECURE_PROCESSINGの有効化や、setFeatureメソッドでhttp://apache.org/xml/features/disallow-doctype-declやhttp://xml.org/sax/features/external-general-entities、http://xml.org/sax/features/external-parameter-entitiesをfalseに設定することを検討してください。
中長期的な対策
- 入力値の検証とサニタイズ: ユーザーからのXML入力は、信頼できないデータとして扱い、厳格な検証とサニタイズを実施してください。許可された要素と属性のみを許可するホワイトリスト方式を推奨します。
- 最小権限の原則: アプリケーションがXMLファイルを処理する際に、必要最小限の権限のみを持つユーザーで実行されるように設定してください。
- WAF（Web Application Firewall）の導入: XMLトラフィックを監視し、XXE攻撃パターンを検出・ブロックできるWAFの導入を検討してください。
一時的な緩和策
XMLパーサーの設定変更が直ちにできない場合、外部からのXML入力の受け入れを一時的に停止するか、信頼できるソースからの入力のみに限定することを検討してください。ただし、これはサービス運用に影響を与える可能性があります。
確認方法
- ご自身のシステムでthinkgem JeeSiteのバージョン5.15.1以前が稼働しているかを確認してください。
- アプリケーションのXML処理部分が、外部実体参照を許可する設定になっていないか、コードレビューや設定ファイルの確認を通じて検証してください。