プレスリリース
2009 年 7 月 22 日
独立行政法人情報処理推進機構
一般社団法人 JPCERT コーディネーションセンター

ソフトウェア等の脆弱性関連情報に関する届出状況 [2009 年第 2 四半期(4 月～6 月)]～2004 年 7 月 8 日の届出受付開始から 5 年が経過し、届出件数の累計が 5,660 件となりました～
IPA（独立行政法人情報処理推進機構、理事長：西垣 浩司）および JPCERT/CC（一般社団法人
JPCERT コーディネーションセンター、代表理事：歌代 和正）は、2009 年第 2 四半期（4 月～6 月）の脆弱性関連情報の届出状況1をまとめました。

(1)クロスサイト・スクリプティング、DNS キャッシュポイズニング、SQL インジェクションの脆
弱性の届出が継続しています
今四半期（2009 年 4 月 1 日から 6 月 30 日まで）に届出を受理したウェブサイトの脆弱性は 383 件でした。これらの脆弱性の種類は、クロスサイト・スクリプティングが 168 件（44%）、DNS2の設定不備（DNS キャッシュポイズニングの脆弱性）が 107 件（28%）、SQL インジェクションが 48 件（13%）となっており、この 3 種類の脆弱性の合計で 85%を占めています（図 9）。
ウェブサイト運営者や DNS サーバの管理者、ウェブアプリケーションの開発者は、これらの脆弱性の確認と対策の実施が、特に必要です（図 10、図 11、図 12）。

(2)過去１年間の届出に対して 58％のウェブサイトの運営者が対応未完了です
過去１年間（2008 年第 3 四半期～2009 年第 2 四半期）に脆弱性の届出を受理したもののうち、IPA
からウェブサイト運営者に脆弱性情報を連絡し、対策を依頼したものは 2,014 件でした。対策を依頼したものの 6 月末現在の状況は、ウェブサイト運営者が対応未完了のものは 1,177 件（58%）、修正が完了したものは 821 件（41%）、その他（脆弱性では無いもの）は 16 件（1%）となっています（図 1）。
ウェブサイト運営主体毎の対処未了率は、企業（株式・上場、株式・非上場）が 61%、企業（その他）が 71%、地方公共団体が 55%、団体（協会・社団法人）が 68%、教育・学術機関が 64%、政府機関が38%などとなっています（図 2）。
IPA としては、IPA から脆弱性情報の連絡を受けたウェブサイトの運営者に対し、迅速かつ適切な脆
弱性修正作業を実施することを強く望みます。
運営者が対応未完了
修正完了
脆弱性では無い
16 (1%)

企業（株式・上場）

38%

61%

1%

企業（株式・非上場）

38%

61%

1%

71%

0%

企業（その他）
地方公共団体

821
(41%)

1,177
(58%)

図１.過去１年間の届出の処理状況

44%

55%

1%

団体

31%

68%

1%

教育・学術機関

32%

64%

4%

政府機関
個人

総数：2,014件

29%

修正完了

60%
33%
運営者が対応未完了

38%
67%

2%
0%

脆弱性ではない

図２.過去１年間の届出の運営者主体毎の処理状況

1

ソフトウェア等の脆弱性関連情報に関する届出制度：経済産業省告示に基づき、2004 年 7 月より開始しました。
IPA は届出受付・分析、JPCERT/CC は国内の製品開発者などの関連組織との調整を行っています。
2
Domain Name System。コンピュータがネットワークのどこに接続されているかを示す IP アドレスという数字の集
まりを、www.ipa.go.jp のような人に覚えやすいドメイン表記と対応させるための情報を管理する仕組みです。

1

(3)2004 年 7 月 8 日の届出受付開始から 5 年が経過し、届出件数の累計が 5,660 件となりました2009 年第 2 四半期の IPA への脆弱性関連情報の届出件数

表 1. 2009 年第 2 四半期の届出件数

は、ソフトウェア製品に関するもの 43 件、ウェブアプリケ

分類ーション（ウェブサイト）に関するもの 386 件、合計 429
件でした。

届出件数

累計件数

ソフトウェア製品

43 件

955 件

ウェブサイト386 件

4,705 件

429 件

5,660 件

届出受付開始（2004 年 7 月 8 日）からの累計は、ソフト計

ウェア製品に関するもの 955 件、ウェブサイトに関するもの
4,705 件、合計 5,660 件となりました。ウェブサイトに関する届出が全体の 83%を占めています（表 1）。
2004 年 7 月 8 日（2004 年第 3 四半期）の届出受付開始から 5 年が経過し、2009 年第 2 四半期までの届出件数の累計が 5,660 件となりました。届出が年々増加しており、近年の 1 年間（2008 年第 3 四
半期～2009 年第 2 四半期）に 3,338 件の届出があり、制度として着実に浸透してきています。また、1
就業日あたりの届出件数は 2009 年第 2 四半期末で 4.66 件となりました（図 3）。
これは、2008 年第 3 四半期ごろから DNS の設定不備、SQL インジェクションの脆弱性の届出が増加
し、また、2008 年第 4 四半期に一時的にクロスサイト・スクリプティングの脆弱性の届出が激増したためです。
届出件数（2004 年 7 月 8 日の届出受付開始から各四半期末時点）
2006/1Q

2007/1Q

2008/1Q

2Q

3Q

4Q

2009/1Q

2Q

累計届出件数[件]

685

1,310

2,045

2,322

2,885

4,375

5,251

5,660

１就業日あたり[件/日]

1.61

1.95

2.24

2.38

2.79

4.00

4.55

4.66

1400

ソフトウェア製品

ウェブサイト1200

ソフトウェア製品（累計）

ウェブサイト（累計） 3,514

4,319

4,705

1000

四
半
期
件
数

800
600
400
200
0

1,043 1,123

5,000
4,000
3,000

2,084
1,575
1,367

2,000 累940
912 955749 845678 747 801 861
507 564 661
626
560
465 511143051 805 43 386
264 303 428 37
49 103 66 80 52 244 69 208 54 509 60
178
46
73
125
35
86 57 39 97
88
96
95

計

1,000 件数0

1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q
2006
2007
2008
2009

図３.脆弱性関連情報の届出件数の四半期別推移■ 本件に関するお問い合わせ先
IPA セキュリティセンター 山岸／渡辺
Tel: 03-5978-7527 Fax: 03-5978-7518 E-mail: vuln-inq@ipa.go.jp
JPCERT/CC 情報流通対策グループ

古田

Tel: 03-3518-4600 Fax: 03-3518-4602 E-mail: office@jpcert.or.jp■ 報道関係からのお問い合わせ先IPA 戦略企画部広報グループ 横山／大海Tel: 03-5978-7503 Fax: 03-5978-7510 E-mail: pr-inq@ipa.go.jp
JPCERT/CC 経営企画室 広報 江田
Tel: 03-3518-4600 Fax: 03-3518-4602 E-mail: pr@jpcert.or.jp

2

別紙

別紙１：届出のあった脆弱性の処理状況の概況
1.ソフトウェア製品の脆弱性の処理状況

表 2．製品の脆弱性の終了件数

2009 年第 2 四半期のソフトウェア製品の脆弱性の処理状況は、

分類

JPCERT/CC が調整を行い、製品開発者が脆弱性の修正を完了し、JVN で対策情報を公表したものが 30 件（累計 367 件）、製品開

修正完了

件数

公表済み 30 件 367 件
個別対応

発者が個別対応を行ったものは 0 件（累計 17 件）、製品開発者が

累計

0件

17 件
35 件

脆弱性ではないと判断したものは 0 件（累計 35 件）、告示で定め脆弱性ではない

0件

る届出の対象に該当せず不受理としたものは 8 件3（累計 143 件）

不受理

8 件 143 件でした。これらの取扱いを終了したものの合計は 38 件（累計 562

合計

38 件 562 件件）です（表 2）。
この他、海外の CSIRT4から JPCERT/CC が連絡を受けた 15 件（累計 422 件）を JVN で公表しました。これらの、公表済み件数の期別推移を図 4 に示します。
国内発見者からの届出
国内発見者からの届出(累計)70

海外のCSIRTからの連絡
海外のCSIRTからの連絡（累計）

357

60

四
半
期
件
数

50
40
30
20
10

133 147
89
67

183
117

203 238170
142

375 392

407

337
321
303 328
299
286
274
261
242 261
211
193

422
367

8 19 22 14 28 36 25 20 28 35 23 23 18 25 31 17 19 25 13 29 25 18 22 17 16 15 30 15

0

1Q 2Q
2006
2006

3Q

4Q

1Q 2Q
2007
2007

3Q

4Q

1Q 2Q 3Q
20082008

4Q

450
400
350
300
累
250
200 計
150 件
100 数
50
0

1Q 2Q
2009 2009

図４.ソフトウェア製品の脆弱性対策情報の公表件数
1.1 今四半期に JVN で対策情報を公表した主な脆弱性(1)複数のCisco Systems 製品におけるディレクトリ・トラバーサルの脆弱性5
複数の Cisco Systems 製品に組み込まれている管理サービス「CiscoWorks Common Services」に、ディレクトリ・トラバーサルの脆弱性がありました。このため、遠隔の第三者により、サーバ内にある
任意のファイルを閲覧されたり、改ざんされたりする可能性があり、5 月 29 日に JVN で対策情報を公表しました。
(2)「iPhone OS」におけるサービス運用妨害(DoS)の脆弱性6Apple が提供する「iPhone OS」に、サービス運用妨害(DoS)の脆弱性がありました。このため、遠隔の第三者により不正なリクエストを送られることで、「iPhone」および「iPod touch」がユーザからの操作を受け付けない状態などに陥る可能性があり、6 月 18 日に JVN で対策情報を公表しました。
(3)「一太郎シリーズ」におけるバッファオーバーフローの脆弱性7
3

今四半期の届出の中で不受理とした 6 件、前期までの届出の中で今期に不受理とした 2 件の合計です。
Computer Security Incident Response Team。コンピュータセキュリティインシデント対応チーム。コンピュータセ
キュリティに関するインシデント（事故）への対応・調整・サポートをする組織です。
5
本脆弱性の深刻度=レベル III（危険）、CVSS 基本値=10.0、別紙 P.9 表 1-2 項番 1 を参照下さい。
6
本脆弱性の深刻度=レベル III（危険）、CVSS 基本値=7.8、別紙 P.9 表 1-2 項番 2 を参照下さい。
41

ジャストシステムが提供する「一太郎シリーズ」に、バッファオーバーフローの脆弱性がありました。このため、ウェブサイト等でファイルを見るだけで、利用者のコンピュータ上で任意のコードを実行される可能性があり、4 月 7日に JVN で対策情報を公表しました。
(4)「Microsoft Works コンバーター」におけるバッファオーバーフローの脆弱性8「Microsoft Works コンバーター」に、バッファオーバーフローの脆弱性がありました。このため、利用者のコンピュータ上で任意のコードを実行される可能性があり、6 月 11 日に JVN で対策情報を公表しました。

1.2 組込みソフトウェアの脆弱性対策情報の公表状況
図 5 に示すように、今四半期は「iPhone OS におけるサービス運用妨害(DoS)の脆弱性」の 1 件の脆弱性対策情報の公表を行い、累計で 23 件となりました。
組込みソフトウェアの内訳は、機器別に見ると図 6 に示すように、ルータが 7 件、プリンタやハード
ディスクなどの周辺機器が 6 件、携帯電話や携帯端末などの携帯機器が 5 件、DVD レコーダやネット
ワークカメラなどの情報家電が 3 件、IP 電話が 1 件、ネットワーク・アプライアンスに組込まれた
SSL-VPN ソフトが 1 件となっています。
今後、インターネットに接続される情報家電が増えると、組込みソフトウェアの脆弱性を狙う攻撃の顕在化が予測されます。組込み機器ではパッチの適用が困難なケースもあり、組込みソフトウェアの開発者は、製品の開発段階で脆弱性を作り込まない配慮が必要です。

25

年間件数

20

累計件数

件 15
数 10

23

20

SSL‐VPN
ソフト, 1

情報家
電, 3

12
9
6

5
0

IP 電話,
1

2

4

3

3

8

2004

2005

2006

2007

2008

図５.組込みソフトウェアの脆弱性の修正完了件数

3

ルータ,
7

携帯機
器, 5

周辺機
器, 6

2009

（6月末現在）2.ウェブサイトの脆弱性の処理状況
2009 年第 2 四半期のウェブサイトの脆弱性の処理状況は、IPA

図６.組込みソフトウェアの脆弱性の対象機器

表3.ウェブサイトの脆弱性の終了件数が通知を行い、ウェブサイト運営者が修正を完了したものは 480

分類件（累計 1,988 件）、IPA およびウェブサイト運営者が脆弱性では修正完了

480 件 1,988 件

ないと判断したものが 10 件、ウェブサイト運営者と連絡が不可

脆弱性ではない

10 件

182 件

連絡不可能

0件

7件

不受理

5件

109 件

能なものが 0 件、告示で定める届出の対象に該当せず不受理としたものは 5 件9でした。
これらの取扱いを終了したものの合計は 495 件（累計 2,286 件）です（表 3）。これらのうち、修正完了件数の期別推移を図 7 に示

合計

件数

495 件 2,286 件します。
7

本脆弱性の深刻度=レベル II（警告）、CVSS 基本値=6.8、別紙 P.10 表 1-2 項番 4 を参照下さい。
本脆弱性の深刻度=レベル II（警告）、CVSS 基本値=6.8、別紙 P.11 表 1-2 項番 21 を参照下さい。
9
今期の届出の中で不受理とした 3 件、先期までの届出の中で今期に不受理とした 2 件の合計です。
8

2

累計

600 ウェブサイト脆弱性の修正完了

1,988

ウェブサイト脆弱性の修正完了(累計)

2000

500

1,334

400

四
半 300
期 200
件
数 100

1,508
1500

1,133
815
655 748629
477 543
323 360 415
37

55

62

1Q 2Q
2006

3Q

4Q

54

0

86

26

93

1Q 2Q
2007

3Q

4Q

66

累
1000計
件
500 数

978

163

155

201

174

1Q 2Q
2008

3Q

4Q

1Q 2Q
2009

67

480
0

図７.ウェブサイトの脆弱性の修正完了件数
2.1 届出のあった対象ウェブサイトの運営主体の内訳と脆弱性の種類
今四半期に脆弱性の届出を受理した 383 件の対象ウェブサイト10の運営主体別内訳は、企業合計が224 件（58.5%）、地方公共団体が 75 件（19.5%）、団体（協会・社団法人）が 34 件（9%）、教育・学術機関が 23 件（6%）、政府機関が 20 件（5%）などとなっています（図 8）。また、これらの脆弱性の種類は、クロスサイト・スクリプティングが 168 件（44%）、DNS の設定不備（DNS キャッシュポイズ
ニングの脆弱性）が 107 件（28%）、SQL インジェクションが 48 件（12.5%）などとなっています（図 9）。
ウェブサイト開発者は、広く知れ渡っている脆弱性を作り込まないような技術スキルを身につけたう
えで、ウェブサイトの企画・設計にあたることが必要です。
また、クロスサイト・スクリプティング 168 件のうち 11 件は「Namazu におけるクロスサイト・ス
クリプティングの脆弱性」、HTTPS の不適切な利用 37 件は「OpenSSL におけるバージョン・ロールバックの脆弱性」です。これらは 2009 年 3 月に注意喚起を行ったパッチ未適用のウェブサイトに対する届出です11。ウェブサイト運営者は、自組織のウェブサイトが使用しているソフトウェアの脆弱性対策
情報を収集し、未対策の場合はパッチの迅速な適用が必要です。
企業（株式・上場）

20 (5%)
23 (6%)

企業（株式・非上場）

7 (2%)
42 (11%)企業（その他）
地方公共団体団体

34 (9%)

教育・学術機関
政府機関

156 (41%)75(19.5%)
26 (7%)

個人

37(9.5%)

23
(6%)

168
(44%)

48
(12.5%)
107(28%)

企業合計：224 (58.5%)
総数:383件

図８.ウェブサイトの運営主体（2009年2Q）

クロスサイト・スクリプティング
DNS情報の設定不備
SQLインジェクションHTTPSの不適切な利用
その他

総数:383件

図９.ウェブサイトの脆弱性の種類（2009年2Q）

2.2 クロスサイト・スクリプティング脆弱性の届出が継続
クロスサイト・スクリプティング脆弱性は、2000 年頃に報告された古典的な脆弱性で、多様な攻撃手法が知られており、近年も届出が継続しています。ウェブページの軽微な「出力処理」の追加で脆弱性を作り込んでしまった事例や、脆弱性対策が誤っていた事例などがありました。
10
11

今四半期に届出のあった 386 件の中の不受理 3 件を除いた 383 件の内訳です。
「古いソフトウェア製品を利用しているウェブサイトへの注意喚起」：
http://www.ipa.go.jp/security/vuln/documents/2009/200903_update.html

3

図 10 はクロスサイト・スクリプティング脆弱性の月別の届出件数と 6 月末現在の対策状況です。2008
年 4 月から 2009 年 6 月までの届出の累計は 1,392 件で、428 件は取扱い終了（ウェブサイトが修正完了）しましたが、現時点で取扱い中（ウェブサイトが対策中）のものが 964 件あります。
ウェブアプリケーションの開発者は、「安全なウェブサイトの作り方12」の資料を参考に、クロスサ
イト・スクリプティング脆弱性への正しい対策が必要です。

現時点で取扱い中取扱い終了

届出累計件数（右目盛り）
2000

300

61

100
0

1000

80

200
207 230

88 122 140 162
66
22

891
329 633
41
58

243

178

34
116

31
77

累 計件 数

月別届出件数

1392
1277 1328
1224
1500
1149
1041

400

500
17
58

7
46

0
64

0
51

27 15
14 24
11
21 12
8
7
3
0
4月 5月 6月 7月 8月 9月 10月 11月 12月 1月 2月 3月 4月 5月 6月
2008 年2009 年（6月末現在）図10.クロスサイト・スクリプティング脆弱性の届出件数と対策状況
2.3 DNS キャッシュポイズニングの脆弱性の届出が継続
2008 年 7 月に複数の DNS サーバ製品の開発ベンダーから、DNS キャッシュポイズニングの脆弱性の対策情報が公開されました。この対策情報の公開後、「実際に運用されている DNS サーバが、この脆弱性対策を実施していないのでは？」という旨の届出が継続しています。
図 11 は DNS キャッシュポイズニング脆弱性の月別の届出件数と 6 月末現在の対策状況です。2008
年 4 月から 2009 年 6 月までの届出の累計は 1,218 件で、406 件は取扱い終了（ウェブサイトが修正完了）しましたが、現時点で取扱い中（ウェブサイトが対策中）のものが 812 件あります。
ウェブサイト運営者や DNS サーバの管理者は、「DNS キャッシュポイズニング対策13」の資料を参考に、自組織が管理している DNS サーバの脆弱性調査を行い、脆弱性が有る場合は、DNS サーバのパッチ適用や設定変更の早急な実施が必要です。

現時点で取扱い中

取扱い終了

400

月別届出件数

300
200
100
0

143

662
117

493
0

0

0

0

届出累計件数（右目盛り）
1500
11691189 1218
1111
941
788 850
1000

51

30

10 2820

10 129

94

118

累
計
500 件
数
0

9

96

15
47

23
68

161

8
50

0
20

0
29

4月 5月 6月 7月 8月 9月 10月 11月 12月 1月 2月 3月 4月 5月 6月
2008 年2009 年

図11.DNSキャッシュポイズニング脆弱性の届出件数と対策状況（6月末現在）2.4 SQL インジェクション脆弱性の届出が継続
近年、SQL インジェクション脆弱性を悪用した攻撃により、ウェブサイトの情報の改ざんや非公開情報が公開されるなど、深刻な被害が発生しています。この被害報道と共に、「実際に運用されているウ
12
13「安全なウェブサイトの作り方」： http://www.ipa.go.jp/security/vuln/websecurity.html「DNS キャッシュポイズニング対策」： http://www.ipa.go.jp/security/vuln/DNS_security.html

4ェブサイトに SQL インジェクションの脆弱性があるのでは？」という旨の届出が継続しています。
図 12 は SQL インジェクション脆弱性の月別の届出件数と 6 月末現在の対策状況です。2008 年 4 月から 2009 年 6 月までの届出の累計は 366 件で、89 件は取扱い終了（ウェブサイトが修正完了）しまし
たが、現時点で取扱い中（ウェブサイトが対策中）のものが 277 件あります。
ウェブサイト運営者は、ウェブサーバのアクセスログ調査14およびウェブサイトの脆弱性検査等を行い、脆弱性が存在する場合は、SQL インジェクション対策の早急な実施が必要です。

現時点で取扱い中

取扱い終了

100

月別届出件数

273

80
15

40
0

300

218

60
20

310

届出累計件数（右目盛り）
360 366 400
318 336

9

7

5

9

13 45

169

144

12

10

3

81

200 累
計
100 件
数
0

8
17

1

3

1
0
23
23 24 48 22 32 47 27
7
0 5 0 2 1 1 22615
4月 5月 6月 7月 8月 9月 10月 11月 12月 1月 2月 3月 4月 5月 6月
2008 年2009 年（6月末現在）図12.SQLインジェクション脆弱性の届出件数と対策状況
2.5 ウェブサイトの脆弱性で 90 日以上対策が未完了のものは 1021 件
IPA は、ウェブサイト運営者から脆弱性対策の返信がない場合、脆弱性が攻撃された場合の脅威を丁寧に解説するなど、1～2 カ月毎にメールや郵送手段などで脆弱性対策を促しています。
図 13 はウェブサイトの脆弱性で 90 日以上対策が完了していないものの経過日数毎の件数を示しています。経過日数が 90 日から 199 日に達したものは 545 件、200 日から 299 日のものは 267 件などとなっており、これらの合計は 1021 件（前四半期は 592 件）となりました。前四半期のものは 104 件減少
しましたが、今四半期で新たに 533 件が 90 日以上となったため、429 件が増加しています。
ウェブサイトの情報が盗まれてしまう可能性のある SQL インジェクションのように、深刻度の高い脆弱性でも修正が長期化しているものがあります。ウェブサイト運営者は脆弱性を攻撃された場合の脅威を認識し、迅速な対策を講じる必要があります。
なお、脆弱性関連情報の取扱いの効率化を図るため、2009 年 7 月 8 日の「情報セキュリティ早期警
戒パートナーシップガイドラインの改訂15」で、このような一定期間にわたり的確な答えが無い場合、その脆弱性の影響範囲や取扱い期間を考慮して取扱いを終了することとなりました。1 年を経過したものは、順次、その脆弱性の影響範囲を考慮し、取扱いを終了する予定です。
600
500

その他

545
21
66

SQLインジェクション
クロスサイト・スクリプティング

400

件 300
数 200
100

264

267
12
61
43

72

56
75

151

31
12
29
0

44
0

6
10
0

5

2
50 8

70 4 3

50 5

1
3 10

6
2 0

200～
299日

300～
399日

400～
499日

500～
599日

600～
699日

700～
799日

800～
899日

900～
999日

1000日
以上

194

0
90～
199日

DNS情報の設定不備

21

15

14

10

5

16

8

図13．修正が長期化しているウェブサイトの未修正の経過日数と脆弱性の種類
1415「SQL インジェクション検出ツール iLogScanner」： http://www.ipa.go.jp/security/vuln/iLogScanner/
情報セキュリティ早期警戒パートナーシップガイドライン。http://www.ipa.go.jp/security/ciadr/partnership_guide.html

5別紙２：届出のあった脆弱性の処理状況の詳細
1. ソフトウェア製品の脆弱性の処理状況の詳細
1.1 ソフトウェア製品の脆弱性の処理状況
ソフトウェア製品の脆弱性関連情報の届出について、処理状況を図 1-1 に示します。今四半期に公表した脆弱性は 30 件（累計 367 件）です。また、「製品開発者が個別対応」したものは 0 件（累計 17 件）、「不受理」としたものは 8 件（累計 143 件）、取扱中は 393 件です。
(括弧内の数値は、今四半期に「公表」「個別対応」「脆弱性ではない」と判断されたものの件数)取扱い終了：428件
2008年
6月末

274

104

16 34

319
合計:747件

465件
2008年
9月末

299

116

16 34

合計:801件

336

504件
2008年
12月末

321

132

16 35

合計：861件

357

524件
2009年
3月末

337

17 35

388

合計：912件取扱い中 393

合計：
955件

800

1000

135

562件(38件)
2009年
6月末

公表済み367(30)

17 35 不受理(0) (0)143(8)

個別対応 脆弱性ではない

0

200

400

600

公表済み:

JVN で脆弱性への対応状況を公表したもの

個別対応:

製品開発者からの届出のうち、製品開発者が個別対応したもの

脆弱性ではない:

製品開発者により脆弱性ではないと判断されたもの

不受理:

告示で定める届出の対象に該当しないもの

取扱い中:

製品開発者が調査、対応中のもの

図 1-1.ソフトウェア製品 各時点における脆弱性関連情報の届出の処理状況

1.2 届出られた製品の種類
届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報
955 件のうち、不受理のものを除いた 812 件の製品種類別の内訳を図 1-2 に示します。
図 1-2 に示すように、IPA に届出があった脆弱性には、「ウェブアプリケーションソフト」に関するものが多くあります。
1%
1%
2%
2%
3%
3%
3%
3%

1%

1%

7%

45%
(44%)

4%
(4%)
7%
(7%)
8%
(8%)

ウェブアプリケーションソフト
ウェブブラウザ
アプリケーション開発・実行環境
グループウェア
ルータ
メールソフトウェブサーバシステム管理ソフト
アンチウイルスソフト
検索システムOS
周辺機器
ワープロソフト
ファイル管理ソフト
データベース
その他

9% (10%) (812件の内訳、グラフの括弧内は前四半期までの数字)※その他には、携帯機器、情報家電、IP電話、プロキシなどがあります。

図1-2.ソフトウェア製品の脆弱性 製品種類別内訳(届出受付開始から2009年6月末まで)

6届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報
955 件のうち、不受理のものを除いた 812 件について、オープンソースソフトウェアとそれ以外のソフトウェアの脆弱性の届出件数の推移を図 1-3 に示します。今四半期はオープンソースソフ
トウェアの届出が 14 件ありました。2006 年頃までは上昇傾向でしたが、2007 年以降は大きな変化はなく推移しています。
120
オープンソースソフトウェア

100

33

それ以外
80
60

8
52

40
20
0

74
15
2
16

12
11

19

3Q 4Q 1Q 2Q
2004
2005

3Q

4Q

1
15

1
11

4
9

10
14

9

19
20

14

1Q 2Q
2006

3Q

24

11

9

20

20

14
14

52
25

32

1Q 2Q
2007

3Q

25
4Q

19

33

29

30

33

1Q 2Q
2008

3Q

4Q

1Q 2Q
2009

30
4Q

図1-3.オープンソースソフトウェアの脆弱性の届出件数

23(812件の内訳)

1.3 脆弱性の原因と脅威
届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報
955 件のうち、不受理のものを除いた 812 件の原因別16の内訳を図 1-4 に、原因別の届出件数の推移を図 1-5 に、脅威別の内訳を図 1-6 に示します。
図 1-4 に示すように、脆弱性の原因は「ウェブアプリケーションの脆弱性」が最多であり、図1-6 に示すように、脅威についても「任意のスクリプト実行」が最多となっています。これは、「ウェブアプリケーションソフト」以外のソフトウェア製品であっても、ウェブブラウザから管理、使用するものが多くあり、そこに脆弱性が存在するためで、この傾向は図 1-5 に示すように、届出受付開始から続いています。
4%
ウェブアプリケーションの脆弱性

12%バッファのチェックの不備

1%

アクセス制御の不備

2%
67%
(66%)

3%(3%)
2%(4%)
3%(6%)

仕様上の不備
ファイルのパス名、内容のチェックの不備
セキュリティコンテキストの適用の不備
証明書の検証に関する不備

6%
(12%)

その他実装上の不備
その他ウェブに関連する不備(812件の内訳、グラフの括弧内は前四半期までの数字)

図1-4.ソフトウェア製品の脆弱性 原因別内訳(届出受付開始から2009年6月末まで)

16

それぞれの脆弱性の詳しい説明については付表 1 を参照してください。

7

120

その他ウェブに関連する不備
その他実装上の不備
証明書の検証に関する不備

100

セキュリティコンテキストの適用の不備
ファイルのパス名、内容のチェックの不備

80

仕様上の不備アクセス制御の不備

60

バッファのチェックの不備
ウェブアプリケーションの脆弱性

40
20
0

3Q 4Q 1Q 2Q
2004
2005

3Q

4Q

1Q 2Q
2006

3Q

4Q

1Q 2Q
2007

3Q

4Q

1Q 2Q
2008

3Q

4Q

1Q 2Q
2009

図1-5. ソフトウェア製品の脆弱性 原因別件数の推移(届出受付開始から2009年6月末まで)

1%
2%
2%
2%
3%

1%

1%

5%

4%
4%
49%
(49%)

4%
(4%)
6%
(7%)
7%
(7%)

9%
(9%)

任意のスクリプトの実行
情報の漏洩
なりすまし
任意のコードの実行
サービス不能任意のコマンドの実行
アクセス制限の回避
任意のファイルへのアクセス
通信の不正中継
データベースの不正操作
認証情報の漏洩
アプリケーションの異常終了証明書等の確認不能
セッション・ハイジャック
その他(812件の内訳、グラフの括弧内は前四半期までの数字)

図1-6. ソフトウェア製品の脆弱性 脅威別内訳 (届出受付開始から2009年6月末まで)

1.4 ソフトウェア製品の脆弱性情報の調整および公表状況
JPCERT/CC は、表 1-1 に示す 2 種類の脆弱性関連情報について、日本国内の製品開発者等の関係者との調整、および海外 CSIRT17の協力のもと、海外の製品開発者との調整を行っています。
これらの脆弱性関連情報に対する製品開発者の対応状況は、IPA と JPCERT/CC が共同運営している脆弱性対策情報ポータルサイト JVN（Japan Vulnerability Notes）において公表しています。
（URL： http://jvn.jp/ ）表 1-1．脆弱性関連情報の提供元別 脆弱性公表件数
情報提供元
今期
累計
国内の発見者から IPA に届出があったもの、および、製品開発者自身
30 件 367 件①
から自社製品の脆弱性、対策方法について連絡を受けたもの② 海外 CSIRT 等と連携して公表したもの
15 件 422 件
計45 件 789 件

17

CSIRT（Computer Security Incident Response Team）は、コンピュータセキュリティに関するインシデント（事故）への対応や調整、サポートをするチームのことです。

8

（1）国内の発見者および製品開発者から届出があり公表した脆弱性
届出受付開始から 2009 年 6 月末までの届出について、脆弱性関連情報の届出（表 1-1 の①）を受理してから製品開発者が対応状況を公表するまでに要した日数を図 1-7 に示します。届出受付開始から各四半期末までの 45 日以内に公表される件数が 34%であり、公表するまでに要した
日数は 2008 年第 2 四半期からほぼ変わらずに推移しています。製品開発者は脆弱性を攻撃された場合の脅威を認識し、迅速な対策を講じる必要があります。

45 日以内の公表件数の割合
2008/3Q まで

2008/4Q まで

2009/1Q まで

2009/2Q まで

32%

32%

33%

34%

81件

20件 41件

34% (45日以内の公表)

全体
21件 33件（367件)

32件

40件

21～30日～10日
31～45日11～20日

0%

10%

20%

30%

99件
46～100日

101～200日

40%

50%

60%

70%

201～300日

80%

301～日

90%

100%

図1-7. ソフトウェア製品の脆弱性公表日数
表 1-2 に、国内の発見者、製品開発者から届出を受け、今四半期に公表した脆弱性を示します。
オープンソースソフトウェアに関し公表したものが 10 件（表 1-2 の*1）、複数開発者・製品に影響がある脆弱性が 1 件（表 1-2 の*2）、組込みソフトウェア製品の脆弱性が 1 件（表 1-2 の*3）ありました。
表 1-2.2009 年第 1 四半期に JVN で公表した脆弱性
項番脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値

脆弱性の深刻度=レベル III（危険）、CVSS 基本値=7.0～10.
複数の Cisco Sys複数の Cisco Systems 製品に組み込まれている管理サ
tems 製品におけるデ ービス「CiscoWorks Common Services」に、ディレ2009 年ィレクトリ・トラバー クトリ・トラバーサルの脆弱性がありました。このた
5 月 29サルの脆弱性
め、遠隔の第三者により、サーバ内にある任意のファ
日
イルを閲覧されたり、改ざんされたりする可能性があ
りました。

10.0

「iPhone OS」におけ Apple が提供する「iPhone OS」には、サービス運用妨るサービス運用妨害 害(DoS)の脆弱性がありました。このため、遠隔の第三 2009 年
2(DoS)の脆弱性
者により不正なリクエストを送られることで、
6 月 18(*3)
「iPhone」および「iPod touch」がユーザからの操作 日を受け付けない状態などに陥る可能性がありました。

7.8

1

脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.0～6.9「XOOPS Cube
コンテンツ管理システム「XOOPS Cube Legacy」には、3 Legacy」におけるク ウェブページを出力する際のエスケープ処理に漏れが 2009 年(*1) ロスサイト・スクリプ ありました。このため、第三者によりウェブページに 4 月 2 日
ティングの脆弱性
スクリプトを埋め込まれる可能性がありました。

9

4.3

項番

脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値

4「一太郎シリーズ」に ジャストシステムが提供する「一太郎シリーズ」には、おけるバッファオー バッファオーバーフローの脆弱性がありました。この2009 年
バーフローの脆弱性 ため、ウェブサイト等でファイルを見るだけで、利用
4月7日
者のコンピュータ上で任意のコードを実行される可能性がありました。

6.8

5

LovPop.net 製
アクセス解析ソフト「apricot.php」には、ウェブペー「apricot.php」におけ ジを出力する際のエスケープ処理に漏れがありまし2009 年るクロスサイト・スク た。このため、第三者によりウェブページにスクリプ 4 月 16
リプティングの脆弱 トを埋め込まれる可能性がありました。
日
性

4.3

「Movable Type」に ウェブログ作成管理システム「Movable Type」には、2009 年
ウェブページを出力する際のエスケープ処理に漏れが6 おけるクロスサイ
4 月 24(*1) ト・スクリプティング ありました。このため、第三者によりウェブページに
日の脆弱性スクリプトを埋め込まれる可能性がありました。

4.3

7

CGI RESCUE 製
フォームメールソフト「Web メーラー」には、ヘッダ「Web メーラー」に を出力する際の処理に問題がありました。このため、2009 年
おける HTTP ヘッ
第三者により偽の情報が表示される可能性や任意のス
4 月 27
ダ・インジェクション クリプトが実行されてしまう可能性、HTTP レスポン
日の脆弱性
ス分割攻撃を受けたりするなどの可能性がありまし
た。

4.3

8

CGI RESCUE 製「フ フォームメールソフト「フォームメール」には、管理2009 年ォームメール」におけ 者の設定とは異なる内容でメールの送信が可能な問題
4 月 27
るメールの不正送信 がありました。このため、第三者により任意の宛先へ
日
不正にメールを送信される可能性がありました。
が可能な脆弱性

4.3

9

CGI RESCUE 製「簡 電子掲示板ソフト「簡易 BBS22」には、管理者の設定
2009 年
易 BBS22」における とは異なる内容でメールの送信が可能な問題がありま
4 月 27
メールの不正送信が した。このため、第三者により任意の宛先へ不正にメ
日
可能な脆弱性ールを送信される可能性がありました。

5.0

SKIP ユーザグループ SNS 構築ソフト「SKIP」には、利用者から入力された2009 年
10 製「SKIP」における 内容を元に SQL 文を組み立てる処理に問題がありま
5 月 11(*1) SQL インジェクショ した。このため、第三者により任意の SQL 命令を実行
日
ンの脆弱性
される可能性がありました。

6.5

11

CGI RESCUE 製
電子掲示板ソフト「Trees」には、ウェブページを出力
2009 年「Trees」におけるク する際のエスケープ処理に漏れがありました。このた
5 月 18
ロスサイト・スクリプ め、第三者によりウェブページにスクリプトを埋め込日
ティングの脆弱性
まれる可能性がありました。

4.3

12

「HP System ManHP サーバ用システム管理ソフト「HP System Management Homepage」 agement Homepage」には、ウェブページを出力する 2009 年
におけるクロスサイ 際のエスケープ処理に漏れがありました。このため、 5 月 20
ト・スクリプティング 第三者によりウェブページにスクリプトを埋め込まれ 日の脆弱性る可能性がありました。

4.3

13

アップルップル製
ウェブログ作成管理システム「a-News」には、ウェブ
2009 年「a-News」における ページを出力する際のエスケープ処理に漏れがありま
5 月 21
クロスサイト・スクリ した。このため、第三者によりウェブページにスクリ日
プティングの脆弱性 プトを埋め込まれる可能性がありました。

4.3

10

項番

脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値

14

アドシステムズ製「Ｗ 会議室予約管理ソフト「Ｗｅｂ会議室予約フリー（無ｅｂ会議室予約フリ 料）版 leger」には、ウェブページを出力する際のエス
2009 年ー（無料）版 leger」 ケープ処理に漏れがありました。このため、第三者に
5 月 22におけるクロスサイ よりウェブページにスクリプトを埋め込まれる可能性
日
ト・スクリプティング がありました。
の脆弱性

4.3

15

MT312 製「写メール 電子掲示板ソフト「写メール掲示板 IMG-BBS」には、
掲示板 IMG-BBS」に ウェブページを出力する際のエスケープ処理に漏れが 2009 年
おけるクロスサイ
ありました。このため、第三者によりウェブページに 5 月 29日
ト・スクリプティング スクリプトを埋め込まれる可能性がありました。
の脆弱性

4.3

16

MT312 製「携帯対応 電子掲示板ソフト「携帯対応掲示板 REP-BBS」には、
掲示板 REP-BBS」に ウェブページを出力する際のエスケープ処理に漏れが 2009 年
おけるクロスサイ
ありました。このため、第三者によりウェブページに 5 月 29
ト・スクリプティング スクリプトを埋め込まれる可能性がありました。
日
の脆弱性

4.3

17

「Serene Bach」にお ウェブログ作成管理システム「Serene Bach」には、けるセッション ID が セッション ID が推測可能である問題がありました。こ 2009 年
推測可能な脆弱性のため、遠隔の第三者により、Serene Bach の管理者 6 月 8 日になりすまされる可能性がありました。

5.1「Apache Tomcat」に The Apache Software Foundation が提供する「Apache
おけるサービス運用 Tomcat」には、サービス運用妨害(DoS)の脆弱性があ2009 年
18
妨害（DoS）の脆弱性 りました。このため、遠隔の第三者により不正なリク
6月9日
(*1)
エストを送られることで、サービス不能状態になる可能性がありました。

4.3「Apache Tomcat」に The Apache Software Foundation が提供する「Apache
19 おける情報漏えいの Tomcat」には、情報漏えいの脆弱性がありました。こ2009 年のため、遠隔の第三者により不正なリクエストを送ら(*1) 脆弱性
6月9日
れた場合、パスワードや設定情報などが漏えいする可(*2)
能性がありました。

4.3

20

A51 D.O.O.製
プロジェクト管理ソフト「activeCollab」には、ウェブ「activeCollab」にお ページを出力する際のエスケープ処理に漏れがありま 2009 年
けるクロスサイト・ス した。このため、第三者によりウェブページにスクリ 6 月 10
クリプティングの脆 プトを埋め込まれる可能性がありました。
日
弱性

4.3

21

「Microsoft Works コ 「Microsoft Works コンバーター」には、バッファオー
2009 年
ンバーター」における バーフローの脆弱性がありました。このため、利用者
6 月 11
バッファオーバーフ のコンピュータ上で任意のコードを実行される可能性
日
ローの脆弱性がありました。

6.8

XOOPS マニア製XOOPS 用コンテンツ管理モジュール「PukiWikiMod」「PukiWikiMod」にお には、ウェブページを出力する際のエスケープ処理に 2009 年
22
けるクロスサイト・ス 漏れがありました。このため、第三者によりウェブペ 6 月 19(*1)
クリプティングの脆 ージにスクリプトを埋め込まれる可能性がありまし
日
弱性
た。

4.3

11

項番

脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値「Movable Type」に ウェブログ作成管理システム「Movable Type」には、おけるアクセス制限 アクセス制限回避が可能な問題がありました。このた 2009 年
23
回避の脆弱性め、第三者により任意の宛先へ不正にメールを送信さ 6 月 24(*1)
れたり、当該製品に保存されている情報を閲覧された 日
りする可能性がありました。

5.0

24

レッツ PHP!製
電子掲示板ソフト「PHP-I-BOARD」には、ディレクト「PHP-I-BOARD」に リ・トラバーサルの脆弱性がありました。このため、 2009 年
おけるディレクト
遠隔の第三者により、サーバ内にある任意のファイル 6 月 25
リ・トラバーサルの脆 を閲覧される可能性がありました。
日
弱性

5.0

25

レッツ PHP!製
電子掲示板ソフト「PHP-I-BOARD」には、ウェブペー「PHP-I-BOARD」に ジを出力する際のエスケープ処理に漏れがありまし2009 年
おけるクロスサイ
た。このため、第三者によりウェブページにスクリプ 6 月 25
ト・スクリプティング トを埋め込まれる可能性がありました。
日
の脆弱性

4.3

26

レッツ PHP!製「Tree 電子掲示板ソフト「Tree BBS」には、ウェブページを2009 年BBS」におけるクロス 出力する際のエスケープ処理に漏れがありました。こ
6 月 25
サイト・スクリプティ のため、第三者によりウェブページにスクリプトを埋日
ングの脆弱性
め込まれる可能性がありました。

4.3

脆弱性の深刻度=レベル I（注意）、CVSS 基本値=0.0～3.9
CGI RESCUE 製「簡 電子掲示板ソフト「簡易 BBS」には、ウェブページを2009 年
易 BBS」におけるク 出力する際のエスケープ処理に漏れがありました。こ4 月 27
ロスサイト・スクリプ のため、第三者によりウェブページにスクリプトを埋日め込まれる可能性がありました。
ティングの脆弱性

2.6

SKIP ユーザグループ SNS 構築ソフト「SKIP」には、クロスサイト・スクリ
2009 年
28 製「SKIP」における プティングの問題がありました。このため、第三者に
5 月 11(*1) クロスサイト・スクリ よりウェブページにスクリプトを埋め込まれる可能性日
プティングの脆弱性 がありました。

3.5「Sun GlassFish
アプリケーションサーバ「Sun GlassFish EnterpriseEnterprise Server」お Server」および「Sun Java System Application Server」
よび「Sun Javaには、ウェブページを出力する際のエスケープ処理に 2009 年
29
漏れがありました。このため、第三者によりウェブペ 5 月 13
System Application(*1)
Server」におけるクロ ージにスクリプトを埋め込まれる可能性がありまし日
スサイト・スクリプテ た。
ィングの脆弱性2.6「Movable Type」に ウェブログ作成管理システム「Movable Type」には、2009 年
ウェブページを出力する際のエスケープ処理に漏れが30 おけるクロスサイ
6 月 24(*1) ト・スクリプティング ありました。このため、第三者によりウェブページに
日の脆弱性スクリプトを埋め込まれる可能性がありました。

2.6

27

(*1)：オープンソースソフトウェア製品の脆弱性(*2)：複数開発者・製品に影響がある脆弱性(*3)：組込みソフトウェアの脆弱性

12

（2）海外 CSIRT 等と連携して公表した脆弱性
JPCERT/CC が海外 CSIRT 等と連携して公表した脆弱性 15 件には、通常の脆弱性情報 8 件（表1-3）と、対応に緊急を要する Technical Cyber Security Alert（表 1-4）の 7 件が含まれます。こ
れらの情報は、通常関連する登録済み製品開発者へ通知したうえ、JVN に掲載しています。
表 1-3.米国 CERT/CC18等と連携した脆弱性関連情報および対応状況
項

脆弱性

番

対応状況

1

Microsoft Office PowerPoint に任意のコードが実行される脆弱性

注意喚起として掲載

2

Xpdf および poppler の JBIG2 データの処理における複数の脆弱性

複数製品開発者へ通知

3

Adobe Reader および Acrobat における customDictionaryOpen()とgetAnnots()に脆弱性

注意喚起として掲載

4

Cyrus SASL ライブラリにおけるバッファオーバーフローの脆弱性

注意喚起として掲載

5

ntpd autokey におけるバッファオーバーフローの脆弱性

複数製品開発者へ通知

6

Microsoft IIS 6.0 WebDAV における認証回避の脆弱性

注意喚起として掲載

7

NSD におけるバッファオーバーフローの脆弱性

複数製品開発者へ通知

8

Adobe Reader および Acrobat の JPX データ処理における複数の脆弱性

注意喚起として掲載

表 1-4.米国 US-CERT19と連携した脆弱性関連情報および対応状況
項番

脆弱性

1

Microsoft 製品における複数の脆弱性に対するアップデート

2Oracle 製品における複数の脆弱性に対するアップデート

3

Microsoft Office PowerPoint に複数の脆弱性

4

Adobe Reader および Acrobat における脆弱性

5

Adobe Reader および Acrobat における脆弱性

6

Microsoft 製品における複数の脆弱性に対するアップデート

7

Adobe Reader および Acrobat における脆弱性

18

CERT/Coordination Center。1988 年のウイルス感染事件を契機に米国カーネギーメロン大学に設置された CSIRT。
19
United States Computer Emergency Readiness Team。米国の政府系 CSIRT。

13

2. ウェブサイトの脆弱性の処理状況の詳細
2.1 ウェブサイトの脆弱性の処理状況
ウェブサイトの脆弱性関連情報の届出について、処理状況を図 2-1 に示します。
図 2-1 に示すように、ウェブサイトの脆弱性について、今四半期中に処理を終了したものは 495
件（累計 2,286 件）でした。このうち、「修正完了」したものは 480 件（累計 1,988 件）、ウェブ
サイト運営者により「脆弱性ではない」と判断されたものは 10 件（累計 182 件）でした。なお、
メールでウェブサイト運営者と連絡が取れない場合は、電話や郵送手段で連絡を試みたり、レンタルサーバ会社と連絡を試みたりしていますが、それでも、ウェブサイト運営者から回答がなく「取扱い不可能」なものは 0 件(累計 7 件)です。
「不受理」としたものは 5 件（累計 109 件）でした。
取扱いを終了した累計 2,286 件のうち、「連絡不可能」「不受理」を除く累計 2,170 件（95%）
は、ウェブサイト運営者からの報告もしくは IPA の判断より指摘した点が解消された事を確認しました。
「修正完了」したもののうち、ウェブサイト運営者が当該ページを削除することにより対応したものは 16 件（累計 125 件）、ウェブサイト運営者が運用により被害を回避しているものは 0 件（累計 19 件）でした。
①‐c 運用で回避
19 (0)①‐b 当該ページ削除
125 (16)(括弧内の数字は、今四半期に「修正完了」「脆弱性ではない」と判断されたもの等の件数)

②182
(10)

取扱い終了: 1,225件
7

2008年
6月末

①‐a 修正済み1844 ( 464 )

1,386件
2008年
9月末

その他

157 83350件 合計:1575件

978③7 (0)
④109
(16)

7

合計:2084件 ①修正完了（①‐a ＋ ①‐b ＋ ①‐c） = 1,988(480)2009年6月末 取扱い終了 2,286 件の内訳

162 84 698件

1133
1,607件

7

2008年
12月末

1334

合計:3514件

1907件

167 991,791件
7

2009年
3月末

合計:4319件

2528件

1721041508

取扱い終了2,286件(495件)
2009年
6月末

1.

7

①修正完了

0
①修正完了
①修正完了
-a 修正済み-b 該当ページを削除-c 運用で回避②脆弱性ではない③連絡不可能
④不受理
⑤取扱い中

1988件

182 109

1000
2000②脆弱性ではない

合計:
4705件

⑤取扱い中 2419件

3000③連絡不可能

4000
④不受理

5000
⑤取扱い中

： ウェブサイト運営者により脆弱性が修正されたもの：
修正完了のうち、修正されたと判断したもの：
修正完了のうち、当該ページを削除して対応したもの：
修正完了のうち、運用により被害を回避しているもの： IPA およびウェブサイト運営者が脆弱性はないと判断したもの： ウェブサイト運営者からの回答がなく、取扱いができないもの： 告示で定める届出の対象に該当しないもの： ウェブサイト運営者が調査、対応中のもの

図 2-1.ウェブサイト各時点における脆弱性関連情報の届出の処理状況

14

2.2 ウェブサイトの脆弱性の種類と脅威届出受付開始から今四半期末までに IPA に届出られたウェブサイトの脆弱性関連情報 4,705 件のうち、不受理のものを除いた 4,596 件について、種類別内訳を図 2-2 に、種類別の届出件数の推移を図 2-3 に、脅威別内訳を図 2-4 に示します20。

2%

2%

6%

クロスサイト・スクリプティング
DNS情報の設定不備

2%

(2%)

2%
(3%)

SQLインジェクション
ファイルの誤った公開

44%
(43%)

15%
(15%)

HTTPレスポンス分割
HTTPSの不適切な利用ディレクトリ・トラバーサル
その他

27%
(27%)

(4,596件の内訳、グラフの括弧内は前四半期までの数字)

図2-2.ウェブサイトの脆弱性 種類別内訳 (届出受付開始から2009年6月末まで)

1400

その他
ディレクトリ・トラバーサル

1200

HTTPSの不適切な利用
HTTPレスポンス分割
ファイルの誤った公開

1000

SQLインジェクション
DNS情報の設定不備

800

クロスサイト・スクリプティング

600

400

200

0

2004

2005

2006

2007

2008

2009

3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q

図2-3.ウェブサイトの脆弱性 種類別件数の推移 (届出受付開始から2009年6月末まで)

20

それぞれの脆弱性の詳しい説明については付表 2 を参照してください。

15

2%
3%
4%
(4%)
4%
(5%)

1%

2%

2%

本物サイト上への偽情報の表示
ドメイン情報の挿入
データの改ざん、消去

40% (39%)

Cookie情報の漏洩
個人情報の漏洩15%(15%)

サーバ内ファイルの漏洩
利用者のセキュリティレベルの低下
ウェブキャッシュ情報のすり替え
なりすまし
その他

27%(28%)(4,596の内訳、グラフの括弧内は前四半期までの数字)

図2-4.ウェブサイトの脆弱性 脅威別内訳 (届出受付開始から2009年6月末まで)

前四半期と同様に今四半期も「DNS 情報の設定不備」が多く届出られました（図 2-3）。前四半期から引き続き、届出の多い「クロスサイト・スクリプティング」「DNS 情報の設定不備」「SQL
インジェクション」だけで全体の 86%を占めています。
また「クロスサイト・スクリプティング」「DNS 情報の設定不備」「SQL インジェクション」な「データの改ざん、どにより発生する、「本物サイト上への偽情報の表示」「ドメイン情報の挿入」
消去」「Cookie 情報の漏洩」が脅威別内訳の 82%を占めています（図 2-4）。

2.3 ウェブサイトの脆弱性の修正状況
届出受付開始から 2009 年 6 月末までの届出の中で、修正完了したものについて、ウェブサイト運営者に脆弱性の詳細情報を通知してから修正されるまでに要した日数およびその傾向を、脆弱性の種類別に図 2-5 および図 2-6 に示します21。全体の 56%の届出が 30 日以内、全体の 79%の届出が 90 日以内に修正されています。
90 日以内の修正件数の割合
2008/1Q まで
2008/2Q まで
77%
81%

2008/3Q まで
80%

2008/4Q まで
83%

2009/1Q まで
80%

2009/2Q まで
79%

79%(90日以内の修正)
クロスサイト・スクリプティング(935件)

300

DNS情報の設定不備(424件)
SQLインジェ クショ ン(279件)

250

ファ イルの誤った公開(59件)
ディレクトリ・トラバーサル(51件)200

HTTPレスポンス分割(49件)
その他 (191件)

150
100
50
0
0日

1日

2日

3日

4日
6日
11日
21日
31日
51日
91日 201日 301日～～5日 ～10日 ～20日 ～30日 ～50日 ～90日 ～200日～300日

図2-5.ウェブサイトの修正に要した日数
21

前四半期までは運営者から修正完了の報告があったもののみを示していましたが、今四半期より脆弱性が修正されたと IPA で判断したものも含めて示しています。なお、0 日は詳細情報を通知した当日に修正されたもの、または運営者へ詳細情報を通知する前に修正されたものです。

16クロスサイト・スクリプティング（ 935件）

DNS情報の設定不備（424件）

SQLインジェクション（279件）

ファイルの誤った公開（59件）

ディレクトリ・トラバーサル（51件）

HTTPレスポンス分割（49件）

その他（191件）

0%～10日

11日～20日

21日～30日

20%
31日～50日

40%

60%

80%

51日～90日

91日～200日

201日～300日

100%
301日～

図2-6.ウェブサイトの修正に要した日数の傾向

3. 関係者への要望
脆弱性の修正を促進していくための、各関係者への要望は以下のとおりです。

(1)ウェブサイト運営者
多くのウェブサイトのソフトウェアに脆弱性が発見されています。自身のウェブサイトでどのようなソフトウェアを利用しているかを把握し、脆弱性対策を実施することが必要です。
なお、脆弱性の理解にあたっては、以下のコンテンツが利用できます。
「知っていますか？脆弱性（ぜいじゃくせい）」： http://www.ipa.go.jp/security/vuln/vuln_contents/「安全なウェブサイト運営入門」： http://www.ipa.go.jp/security/vuln/7incidents/(2)製品開発者
JPCERT/CC は、ソフトウェア製品の脆弱性関連情報について、「製品開発者リスト」に基づき、一般公表日の調整等を行います。迅速な調整を進められるよう、「製品開発者リスト」への登録を求めます（URL：http://www.jpcert.or.jp/vh/ ）。また、製品開発者自身で脆弱性を発見、修正された
場合も、利用者への対策情報の周知のために JVN を活用できます。JPCERT/CC もしくは IPA への連絡を求めます。

(3)一般インターネットユーザ
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がける必要があります。脆弱性があるソフトウェアを使い続けることは避けなければなりません。

(4)発見者
脆弱性関連情報の適切な流通のため、届出られた脆弱性関連情報は、脆弱性が修正されるまでの期間は第三者に漏れぬよう、適切に管理することを要望します。

17

付表 1. ソフトウェア製品 脆弱性の原因分類
脆弱性の原因説明

届出において想定された脅威1

設定情報の漏洩通信の不正中継
ア ク セ ス 制 御 の 不 アクセス制御を行うべき個所において、なりすまし
備
アクセス制御が欠如している
任意のスクリプトの実行
認証情報の漏洩2

アクセス制限の回避
価格等の改ざん
サービス不能
資源の枯渇
ウェブアプリケーションに対し、入力さ 重要情報の漏洩れた情報の内容の解釈や認証情報の取扱 情報の漏洩
ウ ェ ブ ア プ リ ケ ー い、出力時の処理に問題がある。
「クロス セッション・ハイジャック
ションの脆弱性
サイト・スクリプティング」攻撃や「SQL 通信の不正中継
インジェクション」攻撃などに利用され なりすましてしまう
任意のコマンドの実行
任意のスクリプトの実行
任意のファイルへのアクセス
認証情報の漏洩3

仕様上の不備4

ウェブブラウザやメールクライアントソ
証 明 書 の 検 証 に 関 フトに証明書を検証する機能が実装され 証明書の確認不能
する不備ていない、または、検証が正しく行われ なりすまし
ずに、偽の証明書を受けいれてしまう

5

アプリケーションの異常終
本来、厳しい制限のあるセキュリティコ
セキュリティコン
了
ンテキストで取り扱うべき処理を、緩いテキストの適用の情報の漏洩
制限のセキュリティコンテキストで処理
不備
任意のコードの実行してしまう
任意のスクリプトの実行

6

想定外の長さの入力が行われた場合に、サービス不能バ ッ フ ァ の チ ェ ッ 長さをチェックせずバッファに入力して任意のコードの実行
クの不備しまう。
「バッファオーバーフロー」攻撃
任意のコマンドの実行に利用されてしまう。

7

処理の際のパラメータとして指定されてアプリケーションの異常終いるディレクトリ名やファイル名、ファ了
イルの内容をチェックしていない。任意
ファイルのパス名、
サービス不能のディレクトリのファイルを指定できて内容のチェックの資源の枯渇
しまい、「ディレクトリ・トラバーサル」
不備
任意のファイルへのアクセ攻撃に利用されてしまう。また、破損しス
たファイルや不正に書き換えられたファ
認証情報の漏洩イルを処理した際に不具合が生じる

RFC 等の公開された規格に準拠して、設 サービス不能
計、実装した結果、問題が生じるもの。 資源の枯渇

18

付表 2 ウェブサイト脆弱性の分類
脆弱性の種類

深刻度

説明

届出において想定された脅威高個人情報の漏洩
一般に公開すべきでないファイルが公開さ サーバ内ファイルの漏れており、自由に閲覧できる状態になって 洩いる
データの改ざん、消去
なりすまし

2

パス名パラメータの未チェック

高ユーザからの入力を処理する際のパラメー
タとして指定されているファイル名を、ユ サーバ内ファイルの漏ーザが変更し、ウェブサーバ上の任意のデ 洩ィレクトリのファイルを指定できてしまう

3

ディレクトリ･トラバーサル

高ウェブサーバ上のディレクトリのアクセス 個人情報の漏洩権を超えて、本来許可されている範囲外の サーバ内ファイルの漏
ディレクトリにアクセスできる洩

4

セッション管理の不備高セッション管理に、推測可能な情報を使用
Cookie 情報の漏洩しているため、他のユーザの情報が容易に
個人情報の漏洩
推測でき、他のユーザになりすまして、サ
なりすましービスを利用することができる

5

SQL インジェクション

高

個人情報の漏洩
入力フォームなどへ SQL コマンド（データサーバ内ファイルの漏
ベースへの命令）を入力し、データベース
洩
内の情報の閲覧、更新、削除などができる
データの改ざん、消去

6

DNS 情報の設定不備

高

DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名の持ち主 ドメイン情報の挿入
であるかのようにふるまえてしまう中

外部の第三者により、他のサーバへのアクセスを中継するサーバとして利用され、不踏み台
正アクセスなどの際にアクセス元を隠すた
めの踏み台にされてしまう中

Cookie 情報の漏洩
サーバ内ファイルの漏
ユーザの Cookie 情報を知らないうちに転 洩送させたり、偽の情報を表示させたりする 個人情報の漏洩
ような罠のリンクをユーザにクリックさ データの改ざん、消去
せ、個人情報等を盗むことができる
なりすまし
本物サイト上への偽情報の表示

中ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそかにア
データの改ざん、消去
クセスさせ、登録情報の変更や商品の購入をさせることができる

中

攻撃者がユーザに対し、悪意のある要求をウェブサーバに送信するように仕向けるこ
ウェブキャッシュ情報とで、ウェブサーバからの応答を分割させのすり替えて応答内容をすり替え、ユーザに対して偽のページを表示させることができる

中

ユーザに対し、ソフトウェアをインストー
ルさせたり、ブラウザのセキュリティレベ 利用者のセキュリティ
ルを下げるよう指示することでクライアン レベルの低下
ト PC のセキュリティ設定を低下させる

中

ウェブサーバに設置したリダイレクタが悪踏み台
意あるリンクへの踏み台にされたり、その本物サイト上への偽情
ウェブサイト上で別のサイト上のページを報の表示表示させられてしまう

1

ファイルの誤った公開7

オープンプロキシ

8

クロスサイト･
スクリプティング

9

クロスサイト・リク
エスト・フォージェ
リ

10

HTTP レスポンス分
割

セキュリティ設定の11
不適切な変更リダイレクタの不適
12
切な利用

19

脆弱性の種類

13

14

深刻度

フィルタリングの回避OS コマンド・インジ
ェクション

15 メールの第三者中継

16

HTTPS の 不 適 切 な
利用

17 価格等の改ざん

届出において想定された脅威説明中

ウェブサイトのサービスやブラウザの機能として提供されているフィルタリング機能 利用者のセキュリティが回避される問題。これにより、本来制限 レベルの低下されるはずのウェブページを閲覧してしま なりすましう

中

攻撃者がウェブアプリケーションを介してウェブサーバの OS コマンドを実行できてしまい、サーバ内ファイルの閲覧やシステ 任意のコマンドの実行
ム操作、不正なプログラムの実行などを行
われてしまう低利用者が入力した内容を管理者が指定した
メールアドレスに送信する機能で、外部のメールシステムの不正利用者が宛先メールアドレスを自由に指定利用できてしまい、迷惑メール送信の踏み台に
悪用される

低

HTTPS による暗号化をしているが、暗号の選択や設定が十分でなかったり、ウェブサ
イトでのユーザへの説明に間違いがある、 なりすまし
または、ウェブサイトの設計上、ユーザから証明書が確認できない

低ショッピングサイトにおいて、価格情報等
が利用者側で書き換えられる。書き換えに データの改ざんよる被害は、ウェブサイト側に限定される

・API: Application Program Interface

・RFC: Request For Comments

・CGI: Common Gateway Interface

・SQL: Structured Query Language

・DNS: Domain Name System

・SSI: Server Side Include

・HTTP: Hypertext Transfer Protocol

・SSL: Secure Socket Layer

・HTTPS: Hypertext Transfer Protocol Security

・TCP: Transmission Control Protocol

・URI: Uniform Resource Identifier・URL: Uniform Resource Locator・ISAKMP : Internet Security Association
・MIME

Key Management Protocol: Multipurpose Internet Mail Extension

付図１．「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み）
脆弱性関連情報流通体制

ユーザ
ユーザー
脆弱性関連
情報届出

ソフトウェア
製品の脆弱性

脆弱性関連
情報通知

脆弱性関連情報の報告された脆弱性
内容確認・検証
関連情報の内容確認

発見者
W e b サイトの脆弱性

受付・分析機関
受付機関
報告された

調整機関

ソフト
開発者等

分析支援機関【期待効果】

脆弱性対策情報ポータル

公表日の決定、
海外の調整機関
との連携等

対応状況等
対応状況
対策方法等
公表公表

システム導入
支援者等

政府
企業
個人

セキュリティ対策推進協議会等

分析機関
脆弱性関連
情報届出

対策情報ポータル

対応状況の集約、
公表日の調整等

産総研など報告された脆弱性
脆弱性関連情報通知
脆弱性関連情報通知
関連情報の検証W e b サイト運営者

Webサイト運営者
検証、対策実施
検証、対策実施

個人情報の漏えい時は事実関係を公表
個人情報漏洩時は事実関係を公表①製品開発者及びウェブサイト運営者による脆弱性対策を促進②不用意な脆弱性関連情報の公表や脆弱性の放置を抑制③個人情報等重要情報の流出や重要システムの停止を予防※IPA：独立行政法人 情報処理推進機構、JPCERT/CC：一般社団法人 JPCERT コーディネーションセンター、産総研：独立行政法人 産業技術総合研究所

20