# 脅威モデル: SaaS マルチテナント帳票ジェネレータ

本ドキュメントは、SaaS マルチテナント帳票（ドキュメント）ジェネレータの PDF
エンジンとして fulgur を導入する際の脅威モデルを記述します。主要ユースケースは:
**エンドユーザーが WYSIWYG エディタで HTML テンプレートを設計し、ドキュメント
ごとに JSON データを供給し、サーバーがバッチで PDF をレンダリングする**ものです。

本分析は HTML サニタイザ (fulgur-me2) と MiniJinja サンドボックス (fulgur-q1z)
の設計を駆動します。

English version: [threat-model.md](threat-model.md)

## アーキテクチャ概要

```text
エンドユーザー (ブラウザ)
  │
  ├─ WYSIWYG エディタ ──► HTML テンプレート ──┐
  │                                            ▼
  └─ フォーム / API    ──► JSON データ      ──► fulgur Engine ──► PDF
                                                 ▲
                                            SaaS 運用者
                                            (フォント, CSS, 画像)
```

エンジンには 3 つの入力チャネルがあります:

| チャネル | 制御者 | 信頼レベル |
|---|---|---|
| HTML テンプレート | エンドユーザー (WYSIWYG 経由) | **信頼できない** |
| JSON データ | エンドユーザー (API / フォーム経由) | **信頼できない** |
| アセットバンドル (フォント, CSS, 画像) | SaaS 運用者 | 信頼できる |

## 脅威アクター

### A1 — 悪意あるテンプレート作者

WYSIWYG エディタ（または API インターセプト）を通じて HTML テンプレートを
細工・改変するエンドユーザー。目的:

- レンダリングパイプラインでの JavaScript 実行
- 外部リソース参照 (SSRF)
- アセットサンドボックスからの脱出によるサーバーファイル読み取り (パストラバーサル)
- 他テナントのデータ漏洩
- サービス拒否 (DoS)

### A2 — 悪意ある JSON データ提供者

細工した JSON ペイロードを送信するエンドユーザー。目的:

- テンプレート変数展開を通じた HTML/JS インジェクション
- テンプレートエンジンでの過剰なループ反復・深い再帰の誘発
- 非常に大きな値によるメモリ枯渇

### A3 — 侵害された SaaS 運用者

運用者（または運用者アセットを侵害したサプライチェーン攻撃者）。
共有アセットバンドルに悪意ある CSS やフォントを注入する。
運用者アセットは設計上信頼されるため、このアクターは**優先度が低い**です。
防御はアクセス防止ではなく、影響範囲の限定に焦点を当てます。

## 脆弱性カテゴリと緩和策

### V1 — スクリプトインジェクション (XSS 相当)

**脅威:** テンプレートに `<script>`, `<iframe>`, `on*` イベント属性, `javascript:`
URL が含まれ、fulgur が JS ランタイムを獲得した場合や、生成された PDF が HTML を
解釈するコンテキストで表示された場合にコードが実行される。

**現状:** Blitz は JavaScript を実行しない。パイプラインに JS ランタイムはない。
ただし、多層防御の観点から対策が必要:

- 将来の Blitz バージョンや代替レンダラーがスクリプティングを追加する可能性
- 特定のツールで PDF 内の埋め込みスクリプトが解釈される可能性
- テンプレートがレンダリング前にブラウザでプレビューされる可能性

**緩和策:**

- **[計画中: fulgur-me2]** 以下を除去する HTML サニタイザ DomPass:
  - `<script>`, `<iframe>`, `<object>`, `<embed>`, `<applet>`
  - `<link rel="import">`, `<base>` (URL ハイジャック)
  - すべての `on*` イベントハンドラ属性
  - `href`/`src`/`action` 内の `javascript:`, `vbscript:`, `data:text/html` URL
- **[既存]** MiniJinja 自動エスケープ (`AutoEscape::Html`) が
  `{{ variable }}` 出力の `<`, `>`, `&`, `"` をエスケープ
  (`crates/fulgur/src/template.rs:90`)

### V2 — サーバーサイドリクエストフォージェリ (SSRF)

**脅威:** テンプレートが `<link>`, `<img src>`, CSS `url()`, `@import` 経由で
`http://` / `https://` やその他のネットワーク URL を参照し、サーバーが内部
サービスやメタデータエンドポイントへのリクエストを発行する。

**現状:** fulgur は**設計上オフライン**。

**緩和策:**

- **[既存]** `FulgurNetProvider` (`crates/fulgur/src/net.rs`) は `file://` URL
  のみ受け付け、他のスキームはすべてサイレントにドロップ
- **[既存]** パストラバーサル防御: 解決されたファイルパスは設定済み `base_path`
  内に正規化される必要がある
- **[計画中: fulgur-me2]** サニタイザが `<link rel="stylesheet"
  href="http://...">` 等の外部向け属性を除去
- **推奨:** SaaS 運用者は多層防御としてネットワーク分離コンテナ
  (アウトバウンド接続なし) で fulgur を実行すべき

### V3 — パストラバーサル / ローカルファイル読み取り

**脅威:** テンプレートが `<link href="file:///etc/passwd">` や `../../secrets/key.pem`
のような相対パスでサーバーファイルを窃取する。

**緩和策:**

- **[既存]** `FulgurNetProvider::resolve_local_path`
  (`crates/fulgur/src/net.rs:90-101`) がパスを正規化し、`base_path` 外のものを
  拒否。`canonicalize()` によりシンボリックリンクトラバーサルもブロック
- **[既存]** `AssetBundle` の画像検索は明示的な name→data マッピングを使用。
  レンダリング時に画像のファイルシステム読み取りは行われない

### V4 — テンプレートエンジン悪用 (DoS)

**脅威:** 悪意あるテンプレートや JSON データが過剰なリソース消費を引き起こす:

- `{% for i in range(100000000) %}` — CPU/メモリ枯渇
- 深くネストされたオブジェクトアクセス `{{ a.b.c.d.e.f.g... }}`
- ループ内で展開される非常に大きな JSON 値 (数 MB の文字列)
- 再帰的な `{% include %}` / `{% import %}` (有効な場合)

**現状:** MiniJinja `Environment::new()` はデフォルトでリソース制限なし
(`crates/fulgur/src/template.rs:89`)。

**緩和策:**

- **[計画中: fulgur-q1z]** MiniJinja サンドボックスモード:
  - ループ反復上限 (例: 10,000 回)
  - レンダリングタイムアウト (実時間)
  - テンプレートソースサイズ上限
  - 属性アクセス深度制限
  - `include`/`import` 無効化 (現在はローダー未登録で達成されるが、明示的に
    強制すべき)
- **推奨:** SaaS 運用者は API ゲートウェイ層で fulgur に到達する前に JSON
  ペイロードサイズ制限を適用すべき

### V5 — テナント間データ漏洩

**脅威:** テナント A のテンプレートやデータが、テナント B のアセット・レンダリング
出力・テンプレート変数にアクセスする。

**緩和策:**

- **[設計上]** 各 `Engine` インスタンスは独立。レンダリング間で共有される
  ミュータブル状態なし (グローバルテンプレートレジストリなし、共有アセット
  キャッシュなし)
- **[設計上]** `AssetBundle` はレンダリングごとに明示的に構築。バンドルに追加
  されていないアセットにはアクセス不可
- **推奨:** SaaS 運用者はオーケストレーション層でテナント分離を確保する必要あり
  (個別の `Engine` インスタンス、共有一時ディレクトリなし)

### V6 — PDF レベルの攻撃

**脅威:** 細工された入力が PDF ビューアの脆弱性を悪用する PDF を生成する
(PDF 内の悪意ある JavaScript、フォント解析エクスプロイト、アクショントリガーなど)。

**緩和策:**

- **[設計上]** Krilla は PDF の限定的なサブセットを生成。JavaScript アクション、
  フォームフィールド、起動アクションを埋め込まない
- **[設計上]** フォントサブセッティングがフォントパーサーへの攻撃面を削減
- 出力が静的コンテンツ (テキスト、画像、ベクターパス) であるため**低リスク**

### V7 — レンダリングリソース枯渇 (テンプレート外)

**脅威:** テンプレートエンジンの悪用なしでも、悪意ある HTML ドキュメントが過剰な
リソース使用を引き起こす:

- 非常に深くネストされた DOM (レイアウト/ページネーションでのスタックオーバーフロー)
- 極端に大きなインライン画像 (HTML 内の base64 エンコード)
- 単一ドキュメントから数千ページの生成

**緩和策:**

- **[推奨]** SaaS 運用者は以下を適用すべき:
  - HTML 入力サイズ制限
  - レンダリングあたりの最大ページ数
  - レンダリングタイムアウト (プロセスレベル、コンテナランタイム制限等)
  - メモリ制限 (cgroup / コンテナ経由)

## 対象外

以下は fulgur では**対応せず**、SaaS 運用者の責任です:

| 項目 | 理由 |
|---|---|
| WYSIWYG エディタのブラウザレベルサンドボックス | クライアント側の問題。fulgur はサーバー側のみ |
| 完全な CSS パーサー攻撃防御 | Blitz/stylo CSS パーサーの堅牢化は上流の問題 |
| 認証 / 認可 | アプリケーション層の責任 |
| 保存時の PDF 暗号化 | 運用者のストレージ層の問題 |
| PDF 電子署名 | 別の機能トラック。レンダリングのセキュリティ制御ではない |
| ネットワークレベルの分離 | インフラの問題 (ただし上記で推奨) |

## サマリーマトリックス

| ID | カテゴリ | 深刻度 | ステータス | 追跡 |
|---|---|---|---|---|
| V1 | スクリプトインジェクション | 高 | 部分的に緩和 (自動エスケープ); サニタイザ計画中 | fulgur-me2 |
| V2 | SSRF | 高 | **緩和済み** (オフライン専用 NetProvider) | — |
| V3 | パストラバーサル | 高 | **緩和済み** (正規化 + base_path チェック) | — |
| V4 | テンプレート DoS | 中 | 未緩和; サンドボックス計画中 | fulgur-q1z |
| V5 | テナント間漏洩 | 高 | **設計上緩和済み** (共有状態なし) | — |
| V6 | PDF ビューアエクスプロイト | 低 | **設計上緩和済み** (制約付き PDF 出力) | — |
| V7 | レンダリングリソース枯渇 | 中 | 運用者の責任 (制限) | — |

## 改訂履歴

| 日付 | 著者 | 変更 |
|---|---|---|
| 2026-04-12 | Mitsuru Hayasaka | 初版 |