tsClinical Define.xml Generator と tsClinical Metadata Desktop Tools に XML 外部実体参照 (XXE) に関する脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2月14日、tsClinical Define.xml Generator および tsClinical Metadata Desktop Tools における XML 外部実体参照 (XXE) に関する脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。日本電気株式会社の外山拓氏と榊龍太郎氏が報告を行っている。影響を受けるシステムは以下の通り。

tsClinical Define.xml Generator すべてのバージョン (v1.0.0 から v1.4.0 まで)
tsClinical Metadata Desktop Tools Version 1.0.3 から Version 1.1.0 まで

　富士通株式会社が提供する tsClinical Define.xml Generator および tsClinical Metadata Desktop Tools には、XML 外部実体参照 (XXE) に関する脆弱性が存在し、細工された XML ファイルを読み込むことにより、特定の条件に合致した任意のファイルを攻撃者に取得される可能性がある。

　JVNでは、tsClinical Metadata Desktop Tools については、本脆弱性を修正した tsClinical Metadata Desktop Tools Version 1.1.1 がリリースされているため最新版にアップデートを、tsClinical Define.xml Generator については開発が終了しており修正アップデートが提供される予定がないため、tsClinical Metadata Desktop Tools への移行を推奨している。