SSTIの深淵：テンプレートエンジンの「サンドボックス」はなぜ突破されるのか
テンプレートエンジンは、現代のWebアプリケーションにおいて「ロジックとビューの分離」という美しい理想を体現する存在だ。しかし、その裏側でテンプレートエンジンが実行する「コード評価」のメカニズムは、攻撃者にとって格好の踏み台となる。
Jinja2やMako、あるいはThymeleafといった強力なテンプレートエンジンを使う際、多くのエンジニアが陥る罠がある。「テンプレートエンジン側でエスケープしているから安全だ」という過信だ。だが、SSTI（Server-Side Template Injection）の恐ろしさは、単なるXSSのような出力フィルタリングの問題ではなく、実行環境（VM/インタープリタ）のコンテキストを汚染される点にある。
1. サンドボックスという幻想の限界
多くのテンプレートエンジンには「サンドボックスモード」が存在する。しかし、PythonのJinja2やRubyのERBといった動的型付け言語ベースのエンジンにおいて、真の意味での「安全な隔離」を実現することは極めて困難だ。
攻撃者は、テンプレートの構文解析中に、言語のイントロスペクション機能（例：__mro__や__subclasses__）を悪用し、サンドボックスの外側にあるオブジェクトにアクセスする。以下は、Jinja2環境下でRCE（リモートコード実行）を狙う際によく見られるペイロードの断片だ。
攻撃者がテンプレート変数に注入を試みる例
組み込みのObjectクラスからサブクラスを辿り、OSコマンド実行可能なモジュールを特定する
{{ self.__init__.__globals__.__builtins__.__import__(‘os’).popen(‘id’).read() }}
これは、エンジンの機能制限をいくら設定しても、その言語自体が持つ反射機能（Reflection）を完全に無効化しない限り防げない。サンドボックスとは、エンジンが提供する「機能」ではなく、ホストしている言語の「実行権限」そのものに依存しているという現実を直視すべきだ。
2. コンテキスト分離のための「データ渡し」アーキテクチャ
SSTIを根本から封じるには、テンプレートを「コードを評価する場所」から「純粋なデータ表示領域」へと格下げする必要がある。
アンチパターン：テンプレート内でのロジック展開
推奨パターン：データ層のDTO化
ロジックをテンプレート側から完全に剥離させ、コントローラー（View Model）側で必要なデータのみをDTO（Data Transfer Object）として渡す。
安全な実装例（Python/Flask）
def render_profile(user_id):
user = db.get_user(user_id)
# テンプレートには、加工済みの「表示用データ」のみを渡す
# テンプレートエンジンがオブジェクトのメソッドを呼ぶ余地をゼロにする
return render_template(‘profile.html’, user_display_name=user.name)
3. 防衛アーキテクチャ：ガードレイルの実装
現在のトレンドは、テンプレートエンジンへの依存を減らすか、あるいは「静的解析によるゲート」を設けることだ。
- 静的解析の導入: CI/CDパイプラインにおいて、テンプレートファイル内の変数が
{{ ... }}内で未定義のメソッドを呼び出していないか、あるいは禁止されたキーワード（__など）が含まれていないかをチェックする。 - 最小権限での実行: テンプレートエンジンを動かすプロセスは、OSユーザーレベルで徹底的に制限する。万が一RCEが発生しても、その権限でネットワークスキャンやシステムファイルへのアクセスができないよう、コンテナの
read-onlyマウントやno-new-privilegesフラグを適用せよ。
4. 生成AIとテンプレート注入の未来
昨今のプロンプトインジェクションの議論において、LLMが生成した結果をテンプレートに流し込む実装が急増している。もしLLMが攻撃者の指示を受けて「テンプレートの構文」を出力した場合、それはそのままSSTIのトリガーとなる。
AIを介在させる場合、以下の防御層（ガードレイル）が不可欠だ。
1. 出力の構造化: LLMの出力をJSON等の非実行形式に強制する。
2. 中間層でのサニタイズ: LLMの出力を直接テンプレート変数として流し込まず、必ずホワイトリスト形式のパーサーを通す。
3. コンテキストの分離: テンプレートエンジンに渡す前に、変数の型が文字列（String）であることを保証し、エスケープの二重適用ではなく「型変換」を強制する。
結論：技術的誠実さを持つ開発を
SSTIを防ぐのは、強力なセキュリティプラグインではない。「テンプレートにロジックを許すな」という、極めて泥臭い設計原則だ。
テンプレートエンジンは、ただの「文字列置換機」に過ぎない。あなたが書くコードが、開発時の利便性のために「実行権限」をテンプレートに明け渡していないか、今一度、コードレビューの場で自問してほしい。セキュリティの本質とは、魔法のような防御ツールを導入することではなく、システムの複雑性を削ぎ落とし、境界を明確にすることにあるのだから。
コメント