Japan Computer Emergency
Response Team Coordination Center

電子署名者 : Japan Computer Emergency Response Team
Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku, email=office@jpcert.or.jp,
o=Japan Computer Emergency Response Team Coordination Center,
cn=Japan Computer Emergency Response Team Coordination Center
日付 : 2013.10.22 10:20:46 +09'00'

ソフトウェア等の脆弱性関連情報に関する活動報告レポート[2013 年第 3 四半期（7 月～9 月)]
ソフトウェア等の脆弱性関連情報に関する活動報告レポートについて
独立行政法人情報処理推進機構(以下、IPA)と一般社団法人 JPCERT コーディネー
ションセンター(以下、JPCERT/CC)は、ソフトウェア等脆弱性関連情報取扱基準（経済産業省告示 第 235 号）に基づき、2004 年 7 月より脆弱性関連情報の届出業務を実施しています。
本レポートでは、2013 年 7 月 1 日から 2013 年 9 月 30 日までの間に受け付けた脆
弱性関連情報の統計及び事例について紹介しています。

独立行政法人情報処理推進機構 技術本部 セキュリティセンター
一般社団法人 JPCERT コーディネーションセンター
2013 年 10 月 22 日

目次
1. 2013 年第 3 四半期

ソフトウェア等の脆弱性関連情報に関する届出状況 ............... 1

1-1. 脆弱性関連情報の届出状況 ........................................................................................... 1
1-2. 脆弱性の修正完了状況 .................................................................................................. 2
1-3. 調整不能案件の取扱い状況 ........................................................................................... 2
1-4. 注目すべき脆弱性 ......................................................................................................... 3
1-4-1. 古いバージョンの CMS を利用しているウェブサイトの届出が増加 ......................... 3
1-4-2. ウェブアプリケーションフレームワークの脆弱性を狙った攻撃の広がりについて .... 4
2. ソフトウェア等の脆弱性に関する届出の処理状況（詳細） ........................... 5
2-1. ソフトウェア製品の脆弱性 ........................................................................................... 5
2-1-1. 処理状況 ................................................................................................................ 5
2-1-2. ソフトウェア製品の種類 ........................................................................................ 6
2-1-3. 脆弱性の原因と脅威 ............................................................................................... 7
2-1-4. 調整および公表状況 ............................................................................................... 9
2-1-5. 調整不能案件の処理状況 ...................................................................................... 14
2-2. ウェブサイトの脆弱性 ................................................................................................ 15
2-2-1. 処理状況 .............................................................................................................. 15
2-2-2. 運営主体の種類 .................................................................................................... 16
2-2-3. 脆弱性の種類と脅威 ............................................................................................. 16
2-2-4. 修正完了状況 ....................................................................................................... 17
2-2-5. 取扱中の状況 ....................................................................................................... 19
3. 関係者への要望 ...............................................................20
3-1. ウェブサイト運営者.................................................................................................... 20
3-2. 製品開発者 ................................................................................................................. 20
3-3. 一般インターネットユーザー ...................................................................................... 20
3-4. 発見者 ........................................................................................................................ 20
付表 1. ソフトウェア製品の脆弱性の原因分類 ........................................22
付表 2. ウェブサイトの脆弱性の分類 ................................................23
付図１．
「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み） .24

1. 2013 年第 3 四半期 ソフトウェア等の脆弱性関連情報に関する届出状況
1-1. 脆弱性関連情報の届出状況～ 脆弱性の届出件数の累計が 8,985 件になりました ～表 1-1. 届出件数

「情報セキュリティ早期警戒パートナーシッ
（ *1）

プ

」
（以降、本制度）における届出状況につ

分類

今期件数

累計件数

いて、表 1-1 は 2013 年第 3 四半期の脆弱性関連

ソフトウェア製品

51 件

1,620 件

情報の届出件数および届出受付開始（2004 年 7

ウェブサイト266 件

7,365 件

317 件

8,985 件

月 8 日）から今四半期までの累計件数を示して合計います。今期のソフトウェア製品に関する届出件数は 51 件、ウェブサイト（ウェブアプリケーション）に関する届出は 266 件、合計 317 件でした。届出受付開始からの累計件数は 8,985 件で、内訳はソフトウェア製品に関するもの 1,620
件、ウェブサイトに関するもの 7,365 件でウェブサイトに関する届出が全体の 82%を占めています。
図 1-1 のグラフは過去 3 年間の届出件数の四半期別推移を示したものです。今四半期のソフトウェア製品、ウェブサイトに関する届出はともに前四半期よりも増加しています。表 1-2 は過去
3 年間の四半期別の累計届出件数および 1 就業日あたりの届出件数の推移です。1 就業日あたりの届出件数は今四半期末で 3.97（*2）件となっています。
ソフトウェア製品
ソフトウェア製品（累計）

四半期件数
400件

ウェブサイトウェブサイト（累計）

6,701
6,030 6,246 6,370 6,525
5,647
300件 5,339 5,407 5,446

6,914 7,099

7,365

累計件数
8,000件
7,000件6,000件
5,000件

200件
100件
0件

4,000件

1,337 1,383 1,424 1,468 1,522 1,569
1,142 1,162 1,206 1,240 1,284

1,620

2,000件

20 47 20 68 44 39
34 201 44 383 53 216 46 124 41 155 44 176 54 213 47 185 51 266

4Q
2010

1Q
2011

2Q

3Q

4Q

1Q
2012

2Q

3Q

4Q

1Q
2013

2Q

3,000件
1,000件
0件

3Q

図1-1.脆弱性関連情報の届出件数の四半期別推移

表 1-2．届出件数（過去 3 年間）
2010
4Q

2011
1Q

2Q

3Q

4Q

2012
1Q

2Q

3Q

4Q

2013
1Q

2Q

3Q

累計届出件数[件]6,481 6,569

6,652 6,887 7,314 7,583 7,753 7,949 8,169 8,436 8,668 8,985

１就業日あたり[件/日]

4.10

3.92

4.01

3.91

（ *1）

4.01

4.03

3.99

3.96

情報セキュリティ早期警戒パートナーシップガイドライン
http://www.ipa.go.jp/security/ciadr/partnership_guide.html
https://www.jpcert.or.jp/vh/index.html（ *2）
1 就業日あたりの届出件数は、「累計届出件数」/「届出受付開始からの就業日数」にて算出

1

3.95

3.97

3.94

3.97

1-2. 脆弱性の修正完了状況～ ソフトウェア製品およびウェブサイトの修正件数が 5,900 件を超過しました ～表 1-3 は今四半期と届出受付開始から今四半期までのソフトウェア製品とウェブサイトの修正完了件数を示しています。
ソフトウェア製品の脆弱性の届出のうち、製品開発者が修正を完了し、今四半期に JVN で対策情報を）公表したものは 26 件（*3（累計785 件）でした。2010

年第 4 四半期以降は修正完了件数は 30 件前後で推移しています。今四半期に対策情報を公表した 26

表 1-3. 修正完了件数
分類

今期件数

累計件数

ソフトウェア製品

26 件

785 件

ウェブサイト204 件

5,119 件

230 件

5,904 件

合計件のうち、届出を受理してから公表までに 46 日（*4）
以上経過したものは 16 件（62％）でした。
ウェブサイトの脆弱性関連情報の届出のうち、IPA がウェブサイト運営者に通知を行い、今四半期に修正を完了したものは 204 件（累計 5,119 件）でした。修正を完了した 204 件のうち、ウェブアプリケーションを修正したものが 180 件（88%）、当該ページを削除したもの 22 件
（11%）、運用で回避したもの 2 件（1%）でした。なお、修正を完了した 204 件のうち 48 件（24%）は、運営者へ脆弱関連情報を通知してから修正完了までに 91 日（*5）以上を要した届出です。今四半期
は、修正完了までに 91 日以上を要した届出の割合が、前四半期（170 件中 73 件（43%））より減
少しています。

1-3. 調整不能案件の取扱い状況
本制度において届出を受け付けたソフトウェア製品の開発者に対して、一定期間にわたり連絡を試みても連絡が取れない製品開発者を「連絡不能開発者」と位置づけています。製品開発者と連絡をとる糸口を得るために、「連絡不能開発者一覧（*6）」において段階的に製品開発者名と製品情報を公表することで、製品開発者からの連絡および関係者からの情報提供を求めています。
（1） 連絡不能開発者一覧の公表状況
今四半期は新たに「製品開発者名」を 4 件公表し、今四半期末時点の「連絡不能開発者一覧」の公表件数は、110 件となりました。また、今四半期は「製品開発者名」に加えて「製品情報（対象製品の具体的な名称およびバージョン）」を新たに公表したものはありませんでした。
（2） 連絡不能開発者一覧の公表後の取扱状況
今四半期には、製品開発者からの応答はありませんでした。これまでに応答があった 18 件のうち、8 件が本制度における取扱いを終了しました。

（ *3）

表 2-3 参照
公表日の目安は、脆弱性関連情報の取扱を開始した日時から起算して 45 日後としています。
（ *5）
対処の目安は、脆弱性関連情報の通知を受けてから、3 ヶ月以内としています。
（ *6）
連絡不能開発者一覧：http://jvn.jp/reply/index.html
（ *4）

2

1-4. 注目すべき脆弱性
1-4-1. 古いバージョンの CMS を利用しているウェブサイトの届出が増加～ CMS 本体だけでなく、CMS のプラグインのバージョンも要チェック ～2013 年の第 2 四半期に引き続き、ウェブサイト改ざんの被害が増加しています。9 月には、IPAや JPCERT/CC をはじめ、複数の組織から注意が呼びかけられました（*7）（*8）。ウェブサイト改ざんでは、CMS（ウェブサイトを簡易に構築・管理するためのソフトウェアの総称：Contents
Management System）の古いバージョンに存在する脆弱性が悪用された事例が確認されています。
「情報セキュリティ早期警戒パートナーシップ」においても、脆弱性が存在する古いバージョンの CMS を利用している旨の届出が届出開始から今四半期までの累計で 118 件ありました。そのうち、41 件が今四半期(7～9 月)に届出られたものあり、依然として脆弱性が存在する古いバー
ジョンの CMS を利用していることがうかがえます。

古いバージョンのCMS利用に関する届出件数
当月件数

40
35
30
25
20
15
10
5
0

118

111

107

累計件数

120
100
80
60

30

40
4

7月

8月
当月件数

図 1-2

7

20
0

9月
累計件数

古いバージョンの CMS 利用に関する届出件数

届出の中には、データベースが不正に操作される SQL インジェクションの脆弱性や、第三者にウェブページの編集を可能にしてしまうアクセス制限回避の脆弱性が含まれているバージョンがありました。これらの脆弱性を放置すると、重要な情報の漏えいや、ウェブページが改ざんされる可能があり危険です。
脆弱性は、CMS 本体だけでなく CMS の機能を拡張する「プラグイン」にも存在する場合があります。プラグインの脆弱性についても攻撃が観測されています（*9）が、対策は見落とされがちです。
ウェブサイト運営者は、利用している CMS やプラグインのバージョンを確認し、古い場合は速やかに最新バージョンへのアップデート等の脆弱性対策を実施してください。アップデートが困難な場合は、開発元が公開している情報を基に、回避策の適用を実施してください。

（ *7）

https://www.ipa.go.jp/security/topics/alert20130906.html
https://www.ipa.go.jp/security/topics/alert20130913.html（ *9）
http://www-935.ibm.com/services/jp/its/pdf/tokyo_soc_report2013_h1.pdf#page=8
（ *8）

3

1-4-2. ウェブアプリケーションフレームワークの脆弱性を狙った攻撃の広がりについて～ Apache Struts の脆弱性を狙った攻撃が国内でも観測される ～9 月 6 日に公開した JVN#33504150「『Apache Struts』において任意のコマンドを実行される脆弱性」（*10）には、その脆弱性を狙った攻撃が国内でも観測されていました（*11）。攻撃が成功した場合、サーバ上で任意のコマンドを実行される可能性があります。これは、ウェブサイトが改ざんされたり、サーバが乗っ取られて踏み台にされたりするなどの被害に繋がるものです。

図 1-3 Apache Struts の脆弱性を悪用した攻撃の概要

この Apache Struts に限らず、ウェブアプリケーションフレームワーク（ウェブアプリケーシ
ョンの基盤となる機能を提供し、開発を助けてくれる仕組み）（*12）の脆弱性を狙った攻撃はここ数年継続しており、ウェブサイト改ざんなどの被害にも繋がっています。今後も同様の攻撃は続くことが予想されるため、継続的な対策が欠かせません。
ウェブアプリケーションフレームワークは、その上で稼動するウェブアプリケーションと密に連携していることが多く、ウェブアプリケーションフレームワークをバージョンアップするためにはウェブアプリケーションの部分的な改修を要する場合があります。しかしウェブアプリケー
ションが改修できない場合には、ウェブアプリケーションフレームワークもバージョンアップできないことがあり、ウェブサイトの安全な運用に支障をきたします。
ウェブサイト運営者は具体的な対応策として、ウェブアプリケーションを開発した際の設計資
料やソースコード等の管理、ウェブアプリケーションに関係するプログラミング言語やフレームワークに明るい技術者の確保、などが求められます。また、こうした運用ができるだけ速やかにできるよう、自組織の運用体制で適切に管理できるウェブアプリケーションフレームワークの選定も重要です。

（ *10）

https://jvn.jp/jp/JVN33504150/
https://www.jpcert.or.jp/at/2013/at130033.html（ *12）
https://www.ipa.go.jp/security/awareness/vendor/programmingv2/contents/004.html（ *11）

4

2. ソフトウェア等の脆弱性に関する届出の処理状況（詳細）2-1. ソフトウェア製品の脆弱性
2-1-1. 処理状況
図 2-1 のグラフはソフトウェア製品の脆弱性関連情報の届出における、処理状況の推移を示したものです。2013 年第 3 四半期に公表した脆弱性は 26 件（累計 785 件）でした。また、製品開発者が JVN 公表を行わず「個別対応」したものは 4 件（累計 28 件）、製品開発者が「脆弱性ではない」と判断したものは 2 件（累計 66 件）、「不受理」としたものは 10 件（*13）（累計 230 件）、取扱い中は 511 件でした。今四半期に、取扱中の届出について連絡不能開発者一覧に公表した連絡不能開発者（*14）は 4 件です。2013 年 9 末時点の連絡不能開発者公表数は 110 件になりました。
657
950
2012年
9月末

17 60

667件[55%]

474

203

連絡不能開発者 98

合計 1,424

699
982
2012年
12月末

22 62

692件 [55%]

486

206

連絡不能開発者 103

合計 1,468

734
1,020
2013年
3月末

24 64

722件 [55%]

210

502
連絡不能開発者 108

合計 1,522

1,069
771
2013年
6月末

24 64

759件[56%]

220

502

合計 1,569

連絡不能開発者 106

取扱い終了 811
1,109
(42)
取扱い終了
(40)

2013年
9月末

66 不受理(2) 230 (10)個別対応 28(4) 脆弱性ではない

取扱い中 511

600

1,200

公表済み 785件 [56%]
(26)

0

200

400

800

1,000

連絡不能開発者 110(4)1,400

合計 1,620

1,600（ ）内の数値は今四半期に処理を終了もしくは連絡不能開発者となった件数［ ］内の数値は受理した届出のうち公表した割合

取扱い終了

公表済み

：JVN で脆弱性への対応状況を公表したもの

個別対応：JVN 公表を行わず、製品開発者が個別対応したもの

脆弱性ではない：製品開発者により脆弱性ではないと判断されたもの

不受理：告示で定める届出の対象に該当しないもの

取扱い中：製品開発者が調査、対応中のもの

連絡不能開発者： 取扱い中のうち、連絡不能開発者一覧にて公表中のもの

図 2-1.ソフトウェア製品 各四半期時点での脆弱性関連情報の届出の処理状況（ *13）

今四半期の届出の中で不受理とした 5 件、前四半期までの届出の中で今四半期に不受理とした 5 件です。
連絡不能開発者一覧への公表および一覧からの削除が複数回行われている製品開発者については、公表回数の累計を計上しています。

（ *14）

5

以下に、届出受付開始から今四半期までに届出のあったソフトウェア製品の脆弱性関連情報
1,620 件のうち、不受理を除いた 1,390 件の届出を分析した結果を記載します。

2-1-2. ソフトウェア製品の種類
図 2-2 のグラフは製品種類別の届出件数の割合を、図 2-3 は過去 2 年間の製品種類別の届出件数の四半期別推移をそれぞれ示したものです。
今四半期における製品種類別の届出件数は「ウェブアプリケーションソフト」が約 4 割と最も多く、次に「周辺機器」が多く届出されています。

ソフトウェア製品の製品種類別の届出状況
ウェブアプリケーションソフト
ウェブブラウザ
アプリケーション開発・実行環境
グループウェア
ルータ
OS
システム管理ソフト
ファイル管理ソフト
メールソフトウェブサーバアンチウイルスソフト
周辺機器
その他

55件
50件

14%
2%
2%
2%
3%
3%
3%
3%
6%

39%

45件

(39%)

40件
35件
30件
25件
20件
15件
10件

(6%)

5件

6%

(6%)

10%

7%

(7%)

(11%)

※その他には、データベース、携帯機器などがあります。
( 1,390件の内訳、グラフの括弧内は前四半期までの数字)

0件

4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q
2011 20122013( 過去2年間の届出内訳)

図2-3．製品種類別の届出件数(四半期別推移)

図2-2．製品種類別の届出件数の割合

図 2-4 のグラフはオープンソースソフトウェアとそれ以外のソフトウェアの脆弱性の届出件数の割合を、図 2-5 は過去 2 年間の「オープンソースソフトウェア」と「それ以外」のソフトウェ
アの届出件数の四半期別推移をそれぞれ示したものです。届出受付開始から今四半期までの届出のうち、オープンソースソフトウェアの届出が占める割合は、33%となっています。

オープンソースソフトウェアの脆弱性の届出状況
オープンソースソフトウェア
それ以外

4

20

5

15

15
15

10 18

33%
35 32
28 27

(34%)
67%

42
31
21

26

(66%)
4Q 1Q 2Q
2011 2012（1,390件の内訳、グラフの括弧内は前四半期までの数字）

図2-4．オープンソースソフトウェアの届出件数の割合

6

3Q

4Q

1Q 2Q
2013

55件
50件
45件
40件
35件
30件
25件
20件
15件
10件
5件
0件

3Q

(過去2年間の届出内訳)

図2-5．オープンソースソフトウェアの届出件数(四半期別推移)

図 2-6 のグラフは過去 2 年間の届出件数を「スマートフォン向けアプリ」と「それ以外」のソ
フトウェアの届出件数の四半期別推移を、図 2-7 のグラフはスマートフォン向けアプリに関する届出の公表までに要した日数を示したものです。「スマートフォン向けアプリ」に関する届出は2011 年から増加し、2012 年以降は 10 件前後で推移している状況です。また、脆弱性情報を JVNで公表したスマートフォン向けアプリの届出のうち、42%は受理から 45 日以内に対策が行われており、他のソフトウェア製品に比べて早めに対策される傾向にあります。

スマートフォン向けアプリの届出状況
45日以内

スマホアプリ
60

46日以上

それ以外

50

スマホアプリ

42%

58%

33%

67%

40
30

26

47

35

20

24

34
33

33

39
それ以外

10

14

5

8

13

6

12

8

7

4Q 1Q 2Q
2011 2012

3Q

4Q

1Q 2Q
2013

3Q

0
0%

50%

100%

図2-7.スマートフォン向けアプリとそれ以外の公表までの日数

図2-6.スマートフォン向けアプリの届出件数(四半期別推移)

2-1-3. 脆弱性の原因と脅威
図 2-8 のグラフは原因別の届出件数の割合を、図 2-9 のグラフは過去 2 年間の原因別届出件数の四半期別推移をそれぞれ示したものです。今四半期におけるソフトウェア製品の脆弱性の原因
別の届出件数は、前四半期と同様に「ウェブアプリケーションの脆弱性」が最多となっています。

ソフトウェア製品の脆弱性の原因別の届出状況
55件

ウェブアプリケーションの脆弱性

50件

バッファのチェックの不備
仕様上の不備45件

ファイルのパス名、内容のチェックの不備

40件

アクセス制御の不備

その他実装上の不備 （※）
その他ウェブに関連する不備

4%
23%

57%

35件

(58%)

30件
25件
20件
15件

※その他実装上の不備には、証明書の検証に関する不備、
セキュアコンテキストの提供 (3%) 3%の不備やサービス運用妨害 (3%) 3%などがあります。
5%

(5%)

10件
5件
0件
4Q 1Q 2Q
2011 20125%(5%)(1,390件の内訳、グラフの括弧内は前四半期までの数字)

図2-8．脆弱性の原因別の届出件数の割合

3Q

4Q

1Q 2Q
2013

3Q

(過去2年間の届出内訳)

図2-9．脆弱性の原因別の届出件数(四半期別推移)

7図 2-10 のグラフは脅威別の届出件数の割合を、図 2-11 は過去 2 年間の脅威別の届出件数の四半期別推移をそれぞれ示したものです。届出受付開始から今四半期までの届出のうち、「任意のスクリプトの実行」が約 40%を占めています。また、今四半期は「情報の漏洩」が前四半期が 8
件なのに対して、今四半期 1 件と前期と比べ減少しています。一方「任意のコードの実行」は、
前四半期 3 件なのに対して、今四半期 6 件、および「サービス不能」前四半期 0 件、今四半期 7件と増加しています。

ソフトウェア製品の脆弱性がもたらす脅威別の届出状況
55件
50件
45件
40件
35件
30件
25件
20件
15件
10件
5件
0件

任意のスクリプトの実行
情報の漏洩
任意のコードの実行
なりすまし
サービス不能任意のファイルへのアクセス
任意のコマンドの実行
アクセス制限の回避

10%

40%
(41%)

9%
(8%)

11%
(12%)

2%
2%
3%
3%
5%
7%
(7%)

データベースの不正操作
認証情報の漏洩
その他

8%
(8%)

(1,390件の内訳、グラフの括弧内は前四半期までの数字)

図2-10．脆弱性がもたらす脅威別の届出件数の割合

4Q 1Q 2Q
2011 2012

3Q

4Q

1Q 2Q
2013

3Q

(過去2年間の届出内訳)

図2-11．脆弱性がもたらす脅威別の届出件数(四半期別推移)8

2-1-4. 調整および公表状況
表 2-1 は今四半期の脆弱性の公表件数および届出受付開始から今四半期までの累計公表件数を示しています。JPCERT/CC は、2 種類の脆弱性関連情報について、日本国内の製品開発者や関係者との調整、および海外 CSIRT の協力のもと海外の製品開発者との調整を行っています（*15）。
これらの脆弱性関連情報に対する製品開発者の対応状況は、IPA と JPCERT/CC が共同運営している脆弱性対策情報ポータルサイト JVN（Japan Vulnerability Notes）（URL： http://jvn.jp/ ）において公表しています。図 2-12 のグラフは、届出受付開始から今四半期までの届出および海外
CSIRT 等との連携の中で、対策情報を公表した 1,757 件について、過去 3 年間の公表件数の四半
期別推移を示したものです。
表 2-1．脆弱性関連情報の提供元別 脆弱性公表件数

情報提供元
今期件数 累計件数
国内外の発見者から届出があったもの、および製品開発者自身から
①
26 件
785 件
自社製品の脆弱性、対策方法について届出を受けたもの② 海外 CSIRT 等と連携して公表したもの
28 件
972 件
合計
54 件 1,757 件
国内発見者からの届出
国内発見者からの届出(累計)

四半期件数

70件
60件
50件

615

571

40件
30件

490

466

653
516

723

679

580

545

755

海外のCSIRTからの連絡
海外のCSIRTからの連絡（累計）944
873 907
830
791

972

759

785

639

606

667

692

722

累計件数

1,000件
900件
800件
700件
600件
500件
400件
300件
200件
100件
0件

20件
10件

33

31 42 24 44 26 38 29 26 35 44 26 32

0件

4Q
1Q
2010 2011

2Q

3Q

4Q

1Q
2012

36 28 39 25 43 30 34 37 37 26 28

2Q

3Q

4Q

1Q
2013

2Q

3Q

図2-12．ソフトウェア製品の脆弱性対策情報の公表件数（1）

国内外の発見者および製品開発者から届出があり、公表した脆弱性

届出受付開始から今四半期までに届出のあったソフトウェア製品の脆弱性関連情報（表 2-1 の①）について、図 2-13 は受理してから JVN 公表するまでに要した日数を示したものです。表 2-2
は過去 3 年間において 45 日以内に公表した件数の割合推移を四半期別に示したものです。45 日以内に公表した件数は今四半期で 33%、45 日を超過した件数は 67%です。製品開発者は脆弱性を攻撃された場合の危険性を認識し、迅速な対策を講じる必要があります。
33% (45日以内の公表)全体（785件)

72件
0～
20日

0%
0日～10日

62件

59件

68件

11～
20日

21～
30日

31～45日

10%

20%

30%

11日～20日

21日～30日

153件

109件

46～100日

101～200日

40%

50%

31日～45日

60%

46日～100日

45件

217件

201～
300日

70%

301日～

80%

101日～200日

90%

100%

201日～300日

301日～

図2-13. ソフトウェア製品の脆弱性公表日数

表 2-2．45 日以内に公表した件数の割合推移（四半期別）
4Q

2011
1Q

2Q

3Q

4Q

2012
1Q

2Q

3Q

4Q

2013
1Q

2Q

3Q

38%

38%

36%

34%

33%

34%

34%

35%

34%

33%

33%

33%

（ *15）JPCERT/CC 活動概要 Page15～21(http://www.jpcert.or.jp/pr/2013/PR20131010.pdf)を参照下さい。

9表 2-3 は国内の発見者および製品開発者から届出があり、今四半期に JVN 公表した脆弱性を深刻度別に示しています。オープンソースソフトウェアに関し公表したものが 7 件（表 2-3 の*1）、製品開発者自身から届けられた自社製品の脆弱性が 6 件（表 2-3 の*2）、複数開発者・製品に影響がある脆弱性 1 件（表 2-3 の*3）、組込みソフトウェア製品の脆弱性が 8 件（表 2-3 の*4）ありました。
表 2-3. 2013 年第 3 四半期に JVN で公表した脆弱性

項番

脆弱性

セキュリティ上の問題点

JVN
公表日

CVSS
基本
値

脆弱性の深刻度=レベル III（危険）、CVSS 基本値=7.0～10.0「Oracle Outside In」 ファイル形式デコードライブラリ「Oracle Outside In」
2013 年におけるバッファオー には、バッファオーバーフローの脆弱性がありました。
1
7 月 17（*4） バーフローの脆弱性
このため、第三者により任意のコードが実行される可能日性がありました。

7.5「Apache Struts」にお ウェブアプリケーション開発支援フレームワーク
いて任意のコマンドを 「Apache Struts」には、HTTP リクエストの処理に不 2013 年
2（*1） 実行される脆弱性
備がありました。 このため、第三者により 任意のコマ 9 月 6 日
ンドを実行される可能性がありました。

7.5「VMware ESX およ 仮想化ソフトウェア（ハイパーバイザー）「VMware ESX
び ESXi」におけるバッ および ESXi」には、バッファオーバーフローの脆弱性
2013 年
3
ファオーバーフローの がありました。 このため、第三者によりサービス運用
（*1）
9月6日
脆弱性
妨害 (DoS) 攻撃を受けたり、任意のコードを実行されたりする可能性がありました。

7.5「SEIL」シリーズにお ルータ製品「SEIL」シリーズには、バッファオーバーフ 2013 年
4（*2） けるバッファオーバー ローの脆弱性がありました。このため、第三者により任 9 月 20（*4） フローに関する脆弱性 意のコードを実行される可能性がありました。
日7.5

脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.0～6.9「AQUOS フォトプレ フォトプレーヤー「AQUOS フォトプレーヤー
2013 年
ーヤー HN-PP150」に HN-PP150」には、通信におけるパケットの処理に不備
5
7 月 11（*4） おけるサービス運用妨 がありました。このため、第三者によりネットワーク関日
害 (DoS) の脆弱性係の機能を停止される可能性がありました。

5.0「サイボウズ Office」 グループウェア「サイボウズ Office」には、セッション
2013 年
におけるセッション管 管理不備の脆弱性がありました。このため、第三者がユ
7 月 16
理不備の脆弱性ーザになりすまして当該製品にアクセスする可能性が日ありました。

4.0「Oracle Outside In」 ファイル形式デコードライブラリ「Oracle Outside In」
2013 年におけるサービス運用 には、Hangul Word Processor ファイルの処理に不備が7
7 月 17（*4） 妨害 (DoS) の脆弱性 ありました。このため、第三者により Oracle Outside In
日のプロセスをハングされる可能性がありました。

5.0「JBoss RichFaces」に ウェブアプリケーション開発支援フレームワーク
おいて任意のコードが 「JBoss RichFaces」には、deserialize の処理に不備が 2013 年
8
実行される脆弱性ありました。 このため、第三者によりサーバ上に任意 7 月 19（*1）
のファイルが書き込まれたり、任意のコードを実行され 日たりするなどの可能性がありました。

6.8

6

9

「Oracle EnterpriseManager」におけるクロスサイト・スクリプ
ティングの脆弱性

Oracle データベース管理ソフト「Oracle Enterprise2013 年Manager」には、ウェブページを出力する際の処理に問7 月 22
題がありました。このため、第三者によりウェブページ
日にスクリプトを埋め込まれる可能性がありました。
10

4.3

項番

脆弱性

セキュリティ上の問題点

JVN
公表日

CVSS
基本
値

「WordPress」におけ コンテンツ管理システム「WordPress」には、ウェブペ
2013 年るクロスサイト・スク ージを出力する際の処理に問題がありました。このた10
7 月 26（*1） リプティングの脆弱性 め、第三者によりウェブページにスクリプトを埋め込ま日れる可能性がありました。

4.3「JP1/IT Desktop
PC 管理ソフト「JP1/IT Desktop Management - ManManagement - Manager」および「Hitachi IT Operations Director」には、権2013 年
ager」および「Hitachi IT 限昇格の脆弱性がありました。こ のため、第三者によ
7 月 29Operations Director」に り管理者権限を取得される可能性がありました。
日
おける権限昇格の脆弱
性

5.5

11

「PHP OpenID Library」における XML
12
外部実体参照に関する
（*1）
脆弱性

OpenID 用ライブラリ「PHP OpenID Library」には、XML
外部実体参照に関する脆弱性がありました。このため、 2013 年
第三者によりサーバ上の情報が漏えいする、またはサー 8 月 21
バのリソースが過度に消費されるなどの可能性があり 日
ました。

6.4

「EC-CUBE」における ショッピングサイト構築システム「EC-CUBE」は、Windows 環境でのデ Windows 環境で使用している場合に、ディレクトリ・ 2013 年
13ィレクトリ・トラバー トラバーサル の脆弱性がありました。このため、第三 8 月 30（*1）
サルの脆弱性者によりサーバ上の任意のファイルにアクセスされる 日可能性がありました。

5.0「VMware ESX およ 仮想化ソフトウェア（ハイパーバイザー）「VMware ESX
び ESXi」におけるディ および ESXi」には、ディレクトリ・トラバーサルの脆 2013 年
14（*1） レクトリ・トラバーサ 弱性がありました。このため、第三者によりホスト OS 9 月 6 日
ルの脆弱性
上の任意のファイルを削除される可能性がありました。

6.4

ショッピングサイト構築システム「ChamaCargo」には、2013 年
ウェブページを出力する際の処理に問題がありました。
9 月 13
このため、第三者によりウェブページにスクリプトを埋日め込まれる可能性がありました。

4.3

複数のブロードバンド 複数のブロードバンドルータには、オープンリゾルバと2013 年
16
ルータがオープンリゾ して機能してしまう問題がありました。このため、第三（*3）
9 月 19ルバとして機能してし 者により対象機器が DDoS 攻撃に悪用される可能性が
（*4）
日
まう問題
ありました。

5.0「Internet Explorer」に ウェブブラウザ「Internet Explorer」には、任意のコー
2013 年
おいて任意のコードが ドが実行される脆弱性がありました。このため、細工さ17
9 月 19（*2） 実行される脆弱性
れたウェブページを閲覧することで、任意のコードが実日行される可能性がありました。

6.8

D-Link「DWL-2100AP」 ルータ製品「DWL-2100AP」シリーズには、SSH の実 2013 年
18におけるサービス運用 装に不備がありました。このため、第三者により当該製 9 月 20（*4）
妨害 (DoS) の脆弱性 品を再起動させられる可能性がありました。
日

6.8

D-Link「DES-3810」シ ルータ製品「DES-3810」シリーズには、SSH の実装に2013 年
リーズにおけるサービ 不備がありました。このため、第三者により当該製品を
19
9 月 20（*4） ス運用妨害 (DoS) の 応答不能な状態にされる可能性がありました。
日
脆弱性

6.8

「SEIL」シリーズにお ルータ製品「SEIL」シリーズには、RADIUS 認証に関2013 年
20
ける RADIUS 認証に する脆弱性がありました。このため、第三者により当該（*2）
9 月 20
関する脆弱性製品のサービスに不正にアクセスされる可能性があり
（*4）
日
ました。

4.0

15

「ChamaCargo」におけるクロスサイト・ス
クリプティングの脆弱
性

11

項番

脆弱性

セキュリティ上の問題点

JVN
公表日

CVSS
基本
値

脆弱性の深刻度=レベル I（注意）、CVSS 基本値=0.0～3.9「ドコモ海外利用アプ アクセスポイント接続ソフト「ドコモ海外利用アプリ」
リ」における接続処理 には、Wi-Fi アクセスポイントへの接続処理に問題があ 2013 年
に関する脆弱性りました。このため、第三者によりユーザの情報が取得 8 月 7 日される可能性がありました。

3.3「サイボウズ メール メール管理ソフト「サイボウズ メールワイズ」には、2013 年
ワイズ」における情報 件名に別のメールの内容が表示される問題がありまし22
8 月 13（*2） 漏えいの脆弱性た。このため、第三者により閲覧権限のないメールの内日
容を取得される可能性がありました。

3.5「ヤフオク!」における ネットオークションアプリ「ヤフオク!」には、SSL サ
2013 年
SSL サーバ証明書の ーバ証明書の検証不備の脆弱性がありました。このた
8 月 19
検証不備の脆弱性
め、中間者攻撃による暗号通信の盗聴などが行われる可日
能性がありました。

2.6

Android 版「Yahoo!シ Android 版ネットショッピングアプリ「Yahoo!ショッピ
2013 年ョッピング」における ング」には、SSL サーバ証明書に検証不備の脆弱性が
24
8 月 19（*2） SSL サーバ証明書の ありました。このため、中間者攻撃による暗号通信の盗日検証不備の脆弱性聴などが行われる可能性がありました。

2.6「サイボウズ Office」 グループウェア「サイボウズ Office」には、ウェブペー
におけるクロスサイ
ジを出力する際の処理に問題がありました。このため、 2013 年
25（*2） ト・スクリプティング 第三者によりウェブページにスクリプトを埋め込まれ 9 月 9 日の脆弱性
る可能性がありました。

2.6「Opera」におけるク ウェブブラウザ「Opera」には、ページのエンコード設
ロスサイト・スクリプ 定が UTF-8 になっている場合に、クロスサイト・スク 2013 年
ティングの脆弱性
リプティング の脆弱性がありました。このため、ウェ 9 月 12
ブブラウザ上で任意のスクリプトが実行される可能性 日がありました。

2.6

21

23

26

（*1）
：オープンソースソフトウェア製品の脆弱性（*2）：製品開発者自身から届けられた自社製品の脆弱性（*3）：複数開発者・製品に影響がある脆弱性（*4）：組込みソフトウェアの脆弱性（2）

海外 CSIRT 等と連携して公表した脆弱性

表 2-4、表 2-5 は JPCERT/CC が海外 CSIRT 等と連携し、今四半期に公表した脆弱性および対応状況を示しています。今四半期に公表した脆弱性は 28 件あり、うち表 2-4 には通常の脆弱性情報 25 件、表 2-5 には対応に緊急を要する Technical Cyber Security Alert の 3 件を示しています。
これらの情報は、通常関連する登録済み製品開発者へ通知したうえ、JVN に掲載しています。

12

表 2-4.米国 CERT/CC（*16）等と連携した脆弱性関連情報および対応状況
項番

脆弱性

対応状況

1

HP System Management Homepage にスタックバッファオーバーフロ
注意喚起として掲載
ーの脆弱性

2

KnowledgeView 製品にクロスサイトスクリプティングの脆弱性

注意喚起として掲載

3

iDRAC にクロスサイトスクリプティングの脆弱性

注意喚起として掲載

4

Apple iTunes におけるメモリ破損の脆弱性に対するアップデート

注意喚起として掲載

5

Apple iOS における複数の脆弱性に対するアップデート

注意喚起として掲載

6

Apple Safari 5 におけるメモリ破損の脆弱性に対するアップデート

注意喚起として掲載

7

Dahua Technology 製 DVR に複数の脆弱性

注意喚起として掲載

8

Apple OS X における複数の脆弱性に対するアップデート

注意喚起として掲載

9

Oracle E-Business Suite にパスワード漏えいの脆弱性

注意喚起として掲載

10

AdvancePro に情報漏えいの脆弱性

注意喚起として掲載

11

Cisco Prime NCS および Cisco WCS にクロスサイトスクリプティン 注意喚起として掲載
グの脆弱性

12

Supermicro 製の IPMI に複数の脆弱性

注意喚起として掲載

13

CourseMill LMS に複数の脆弱性

注意喚起として掲載

14

Corporater EPM Suite に複数の脆弱性

注意喚起として掲載

15

RealPlayer のファイル名の処理にスタックバッファオーバーフローの 注意喚起として掲載
脆弱性

16

SearchBlox に複数の脆弱性

注意喚起として掲載

17

Web Viewer for Samsung DVR に複数の脆弱性

注意喚起として掲載

18

Dell の BIOS 更新処理にバッファオーバーフローの脆弱性

注意喚起として掲載

19

HP/H3C 製および Huawei 製ネットワーク機器がパスワードの暗号化 注意喚起として掲載に DES を使用している問題

20

HTTPS レスポンスから暗号化されたデータの一部が推測可能な脆弱性 注意喚起として掲載(BREACH)

21

Open Shortest Path First (OSPF) プロトコルの Link State Advertise- 複数製品開発者へ通知
ment (LSA) に関する問題

22

TrustGo Antivirus & Mobile Security にサービス運用妨害 (DoS) の脆弱 注意喚起として掲載
性23

Verizon Wireless Network Extender に複数の脆弱性

24

EMBASSY Remote Administration Server に SQL インジェクションの 注意喚起として掲載
脆弱性

25

Choice Wireless Green Packet 4G WiMax modem WIXFMR-111 に脆弱 注意喚起として掲載
性（ *16）

複数製品開発者へ通知

CERT/Coordination Center：1988 年のウイルス感染事件を契機に米国カーネギーメロン大学に設置された
CSIRT。

13

表 2-5.米国 US-CERT（*17）と連携した脆弱性関連情報および対応状況
項番

脆弱性

1

Microsoft 製品の複数の脆弱性に対するアップデート

2

Microsoft 製品の複数の脆弱性に対するアップデート

3

Microsoft 製品の複数の脆弱性に対するアップデート

2-1-5. 調整不能案件の処理状況（1） 連絡不能開発者一覧（製品開発者名および製品情報）の公表状況
図 2-14 は今四半期の連絡不能開発者一覧(製品開発者名および製品情報)の公表件数と今四半期までの累計件数を示しています。
「連絡不能開発者一覧」にある「製品開発者名」の公表件数の累計は 128 件で、このうち 18 件が調整を再開しています。また、今四半期は、新たに「製品開発者名」を 4 件公表し、合計 110 件を公表しています。
（2） 製品開発者情報の公開調査結果
図 2-15 は今四半期までに公表した連絡不能開発者の公開調査の結果を示しています。今四半期末時点の公開中の連絡不能開発者件数は、110 件です。また、「連絡不能開発者一覧」の公開開始（2011 年 9 月 29 日）から今四半期末時点までに 18 件が調整を再開し、2013 年 2Q 以前に製品開発者と調整を再開した 1 件の調整が今四半期に完了し、累計 8 件が本制度における取扱いを終了しました。「連絡不能開発者一覧」の公開開始から 2 年が経過しましたが、今四半期末時点で110 件は依然として、製品開発者からの連絡が無い状況です。
公表開始から2013年2Qまで （※）

2013年3Q（※2013年9月までの「調整再開」を含む累積件数です）

製品開発者名の公表件数（累計）
製品情報の公表件数（累計）
調整再開の件数

124

4 128

108

0 108

製品開発者名の公表

8件(6%)
10件(8%)

50件

調整再開（調整中）

106件(83%)

100件

150件

図2-14. 2013年3Qの公表および調整再開の状況（ *17）

製品開発者名と製品情報の公表

調整再開（調整完了）

18 0 18
0件

4件(3%)

2013年3Q公表中 110件
／総計128件

図2-15. 公開調査後の対応状況

United States Computer Emergency Readiness Team：米国の政府系 CSIRT。

14

2-2. ウェブサイトの脆弱性
2-2-1. 処理状況
図 2-16 はウェブサイトの脆弱性関連情報の届出における、処理状況の推移を示したものです。
ウェブサイトの脆弱性について、今四半期中に取扱いを終了したもの 237 件（累計 6,862 件）でした。このうち「修正完了」したものは 204 件（累計 5,119 件）、注意喚起を行い処理を取りやめたものは 0 件（累計 1,130 件）、IPA およびウェブサイト運営者が「脆弱性ではない」と判断したものは 25 件（累計 375 件）でした。処理の取りやめとは、例えば 1 つの脆弱性が多数のウェブサイトに存在するという届出があった場合「注意喚起」を行った上、処理を取りやめという本制度に則ったものです。なお、メールでウェブサイト運営者と連絡が取れない場合は電話や郵送で連絡を試みるなどの対応をしていますが、それでもウェブサイト運営者と連絡が取れずに「取扱不能」となったものは 6 件（累計 69 件）でした。「不受理」としたものは 2 件（累計 169 件）でした。
取扱いを終了した累計 6,862 件のうち「注意喚起」「取扱不能」「不受理」を除く累計 5,494
件（80%）は、ウェブサイト運営者からの報告もしくは IPA の判断により指摘した点が解消されていることを確認しました。
「修正完了」したもののうち、ウェブサイト運営者が当該ページを削除することにより対応したものは 22 件（累計 585 件）、ウェブサイト運営者が運用により被害を回避しているものは 2
件（累計 27 件）でした。
6,103

2012年
9月末

54

4,436 [70%]

1,130

合計
6,525件

422

321

162

6,227
55

2012年
12月末

4,549 [70%]

1,130

合計
6,701件

474

328

165

6,438
59

2013年
3月末

4,745 [70%]

1,130

476

338

166

合計
6,914件

6,625
63

2013年
6月末

4,915

1,130

[71%]

取扱い終了 6,862(237)

修正完了 5,119(204) [71%]

2013年
9月末

0

1,000

2,000

350

473
167

合計
7,099件

脆弱性ではない

当該ページ削除585(22)

注意喚起
1,130

運用で回避
27(2)

3,000

4,000

合計

473
7,365件取扱い中取扱不能 69(6) 不受理 169(2)

5,000

6,000

375
(25)

7,000

（ ）内の数値は今四半期に処理を終了した件数［］内の数値は受理した届出のうち修正完了した割合

取扱い終了

修正完了
該当ページを削除
運用で回避
注意喚起
脆弱性ではない
取扱不能
不受理
取扱い中

： ウェブサイト運営者により脆弱性が修正されたもの： 修正完了のうち、当該ページを削除して対応したもの： 修正完了のうち、運用により被害を回避しているもの： IPA による注意喚起で広く対策実施を促した後、処理を取りやめたもの： IPA およびウェブサイト運営者が脆弱性はないと判断したもの： ウェブサイト運営者からの回答がなく、取扱いができないもの、
ウェブサイト運営者が対応しないと判断したもの： 告示で定める届出の対象に該当しないもの： ウェブサイト運営者が調査、対応中のもの

図 2-16.ウェブサイト 各四半期時点での脆弱性関連情報の届出の処理状況
15以下に、届出受付開始から今四半期までに届出のあったウェブサイトの脆弱性関連情報 7,365

件のうち、不受理を除いた 7,196 件の届出を分析した結果を記載します。

2-2-2. 運営主体の種類
図 2-17 のグラフは過去 2 年間に届出のあったウェブサイトの運営主体の種類別届出件数の四半
期別推移を示しています。今四半期も企業が運営するウェブサイトに関する届出が多数を占めて
います。
不明
個人
教育・学術機関
政府機関
団体
地方公共団体企業（その他）
企業（株式・非上場）企業（株式・上場）

400件
350件
300件
250件
200件
150件

100件
50件
0件

4Q
2011

1Q
2012

2Q

3Q

4Q

1Q
2013

2Q

3Q

図2-17．ウェブサイトの運営主体の種類別の届出件数(四半期別推移)

2-2-3. 脆弱性の種類と脅威
図 2-18 のグラフは脆弱性の種類別の届出件数の割合を、図 2-19 は過去 2 年間の脆弱性の種類
別届出件数の四半期別推移をそれぞれ示したものです（*18）。脆弱性の種類は届出の多い「クロスサイト・スクリプティング」「DNS 情報の設定不備」「SQL インジェクション」の 3 種類の脆弱性が全体の 86%を占めています。2008 年第 3 四半期から 2009 年第 3 四半期にかけて多く届出のあった「DNS 情報の設定不備」の届出は、2009 年第 4 四半期以降はありませんでしたが、2013
年の第 1 四半期および第 3 四半期に届出が 34 件ありました。過去 2 年間は「クロスサイト・ス
クリプティング」が届出全体の約 7 割以上を占めています。

ウェブサイトの脆弱性の種類別の届出状況

400件

クロスサイト・スクリプティング

350件

DNS情報の設定不備
SQLインジェクション

2%
2%

HTTPSの不適切な利用ファイルの誤った公開
HTTPレスポンス分割

(2%)

300件

8%

250件
200件

2%
(2%)

150件

その他

100件

12%
(12%)
19%
(19%)
(7,196件の内訳、グラフの括弧内は前四半期までの数字)

50件

55%
(54%)

4Q 1Q 2Q
2011 2012

3Q

0件
1Q 2Q 3Q
2013
(過去2年間の届出内訳)

4Q

図2-19．脆弱性の種類別の届出件数

図2-18．脆弱性の種類別の届出件数の割合(四半期別推移)（ *18）

それぞれの脆弱性の詳しい説明については付表 2 を参照してください。

16

図 2-20 のグラフは脅威別の届出件数の割合を、図 2-21 は過去 2 年間の脅威別届出件数の四半
期別推移をそれぞれ示したものです。「クロスサイト・スクリプティング」「DNS 情報の設定不備」「SQL インジェクション」などにより発生する、「本物サイト上への偽情報の表示」「ドメイン情報の挿入」「データの改ざん、消去」が全体の 83%を占めています。

ウェブサイトの脆弱性がもたらす脅威別の届出状況
本物サイト上への偽情報の表示
ドメイン情報の挿入
データの改ざん、消去
個人情報の漏洩
Cookie情報の漏洩
サーバ内ファイルの漏洩
なりすまし
利用者のセキュリティレベルの低下
その他

400件

2%
2%
2%
3%
(3%)
3%
(3%)

350件
300件

5%

250件
200件

150件
100件

12%
(12%)

50件

19%
(19%)

4Q 1Q 2Q
2011 2012

52%
(52%)

(7,196件の内訳、グラフの括弧内は前四半期までの数字)

3Q

4Q

0件
1Q 2Q 3Q
2013
(過去2年間の届出内訳)

図2-21．脆弱性がもたらす脅威別の届出件数(四半期別推移)

図2-20．脆弱性がもたらす脅威別の届出件数の割合

2-2-4. 修正完了状況
図 2-22 のグラフは、ウェブサイトの脆弱性について過去 3 年間の四半期別の修正完了件数を示しています。修正を完了した 204 件のうち 48 件（24%）は、運営者へ脆弱関連情報を通知してから修正完了までに 91 日以上を要した届出です。今四半期は、修正完了までに 91 日以上を要した届出の割合が、前四半期（170 件中 73 件（43%））より大幅に減少しています。表 2-6 は、過去 3 年間の四半期末の時点で、修正が完了した全届出のうち、ウェブサイト運営者に脆弱性関連情報を通知してから、90 日以内に修正が完了した件数の割合を示したものです。2010 年 3Q 以降に「90 日以内」に修正が完了した割合は約 65%で、その傾向に大きな変動はありません。
四半期件数

0-90日以内

91-300日以内

完了件数(四半期計)

301日以上

400

300

3,342

3,448

3,596

3,510

3,855

259

200

4,073

4,265

218

4,436

106

5,119

5,500

4,915

4,500
3,500

192

204
170

171

156

113

86

62

累計件数

196

133
100

4,745

4,549

完了件数(累計)

2,500
1,500

21 27
0

500
(500)

4Q
2010

1Q
2011

2Q

3Q

4Q

1Q
2012

2Q

3Q

4Q

1Q
2013

2Q

3Q

図2-22．ウェブサイトの脆弱性の修正完了件数
表 2-6．90 日以内に修正完了した件数および割合の推移
2010
4Q

2011
1Q

2Q

3Q

4Q

2012
1Q

2Q

3Q

4Q

2013
1Q

2Q

3Q

修正完了
件数

3,342

3,448

3,510

3,596

3,855

4,073

4,265

4,436

4,549

4,745

4,915

5,119

90 日以
内の件数

2,221

2,252

2,285

2,316

2,534

2,706

2,832

2,930

2,993

3,147

3,244

3,400

90 日以
内の割合

66%

65%

65%

64%

66%

66%

66%

66%

66%

66%

66%

66%

17

図 2-23 および図 2-24 は、ウェブサイト運営者に脆弱性関連情報を通知してから修正されるまでに要した日数およびその傾向を脆弱性の種類別に示したものです（*19）。全体の 47%の届出が30 日以内、全体の 66%の届出が 90 日以内に修正されています。
66%(90日以内の修正)
47%(30日以内の修正)
その他(235件)
HTTPSの不適切な利用(30件）
メールの第三者中継(38件)
認証に関する不備(50件)
ディレクトリ・トラバーサル(65件)セッション管理の不備(70件)
HTTPレスポンス分割(102件)
ファイルの誤った公開(129件)
DNS情報の設定不備(533件)
SQLインジェクション(660件)
クロスサイト・スクリプティング(3,207件)

800件
700件
600件
500件
400件

15%

12%

9%

9%

8%

300件

10%

10%

7%

7%
5%

4%

200件

2%

2%

2日

3日

100件
0件
0日

1日

4日
6日
11日
21日
31日
51日
91日 201日 301日～～5日 ～10日 ～20日 ～30日 ～50日 ～90日 ～200日 ～300日

図2-23.ウェブサイトの修正に要した日数

クロスサイト・スクリプティング(3,207件)
SQLインジェクション(660件)
DNS情報の設定不備(533件)

ファイルの誤った公開(129件)
HTTPレスポンス分割(102件)
セッション管理の不備(70件)
ディレクトリ・トラバーサル(65件)
認証に関する不備(50件)
メールの第三者中継(38件)
HTTPSの不適切な利用(30件)
その他(235件)

0～10日

11日～20日

0%

20%

40%

21日～30日

31日～50日

51日～90日

60%
91日～200日

80%

100%

201日～300日

301日～

図2-24.ウェブサイトの修正に要した脆弱性種類別の日数の傾向（ *19）

運営者から修正完了の報告があったもの、および、脆弱性が修正されたと IPA で判断したものも含めて示しています。なお、0 日は詳細情報を通知した当日に修正されたもの、または運営者へ詳細情報を通知する前に修正された
ものです。

18

2-2-5. 取扱中の状況
ウェブサイト運営者から脆弱性を修正した旨の通知が無い場合、IPA は運営者に脆弱性が悪用されて攻撃された場合の危険性を分かりやすく解説し、1～2 ヶ月毎に電子メールや電話、郵送などの手段で運営者に連絡を試み、脆弱性対策の実施を促しています。
図 2-25 は、ウェブサイトの脆弱性関連情報のうち、取扱いが長期化（IPA からウェブサイト運営者へ脆弱性関連情報を通知してから、90 日以上脆弱性を修正した旨の報告が無い）しているものについて、経過日数別の件数を示したものです。経過日数が 90 日から 199 日に達したものは
41 件、200 日から 299 日のものは 53 件など、これらの合計は 302 件（前四半期は 307 件）です。
また、1000 日以上経過している届出脆弱性には、SQL インジェクションなどの比較的危険度の高い脆弱性が含まれており、速やかな対策が望まれます。
（長期化 合計302件）

120件

その他
SQLインジェクション
クロスサイト・スクリプティング

100件

53

80件
60件

40件
20件

0件

21

31

41
16
1

15
4
22

90～
199日

36

3
2
26

200～
299日

300～
399日

96
22

15

20

2
1
15

3
0
17

2
0
19

1
0
14

400～
499日

500～
599日

600～
699日

700～
799日

28

4

3

18

1
1
1

800～
899日

2
0
2

46

900～
999日

1000日
以上

図2-25.取扱いが長期化(90日以上経過)しているウェブサイトの経過日数と脆弱性の種類
表 2-7 は、過去 2 年間の四半期末時点で取扱い中の届出について、取扱いが長期化している届
出件数および、長期化している割合の四半期別推移を示しています。
表 2-7．取扱いが長期化している届出件数および割合の四半期別推移
2011
4Q

2012
1Q

2Q

3Q

4Q

2013
1Q

2Q

3Q

取扱い中件数

541 件

527 件

449 件

423 件

473 件

474 件

473 件

503 件

長期化している件数

237 件

298 件

318 件

302 件

296 件

301 件

307 件

302 件

長期化している割合

44%

57%

71%

71%

63%

60%

65%

60%

ウェブサイトの情報が盗まれてしまう可能性のある SQL インジェクションのように、取扱いが長期化しているものの中には深刻度の高い脆弱性もあります。ウェブサイト運営者は脆弱性を攻撃された場合の影響を認識し、迅速な対策を講じる必要があります。

19

3. 関係者への要望
脆弱性の修正促進のための、各関係者への要望は以下のとおりです。

3-1. ウェブサイト運営者
多くのウェブサイトで利用しているソフトウェアに脆弱性が発見されています。自身のウェブ
サイトでどのようなソフトウェアを利用しているかを把握し、脆弱性対策を実施することが必要です。
なお、脆弱性の理解にあたっては、以下の IPA が提供するコンテンツが利用できます。
⇒「知っていますか？脆弱性（ぜいじゃくせい）」： http://www.ipa.go.jp/security/vuln/vuln_contents/⇒「安全なウェブサイト運営入門」： http://www.ipa.go.jp/security/vuln/7incidents/

また、対策実施にあたっては、以下のコンテンツが利用できます。
⇒「安全なウェブサイトの作り方」：http://www.ipa.go.jp/security/vuln/websecurity.html⇒「安全な SQL の呼び出し方」：http://www.ipa.go.jp/security/vuln/websecurity.html⇒「Web Application Firewall 読本」：http://www.ipa.go.jp/security/vuln/waf.html

また、ウェブサイトの脆弱性診断実施にあたっては、以下のコンテンツが利用できます。
⇒「ウェブ健康診断仕様」：http://www.ipa.go.jp/security/vuln/websecurity.html

3-2. 製品開発者
JPCERT/CC は、ソフトウェア製品の脆弱性関連情報を、「製品開発者リスト」に基づき、一般
公表日の調整等を行います。迅速な調整が進められるよう、「製品開発者リスト」に登録してください（URL：https://www.jpcert.or.jp/vh/regist.html ）。また、製品開発者自身が自社製品の脆弱性関連情報を発見した場合も、対策情報を利用者へ周知するために JVN を活用することができます。
JPCERT/CC もしくは IPA へ連絡してください。
なお、製品開発にあたっては、以下のコンテンツが利用できます。
⇒「TCP/IP に係る既知の脆弱性検証ツール」：
http://www.ipa.go.jp/security/vuln/vuln_TCPIP_Check.html⇒「TCP/IP に係る既知の脆弱性に関する調査報告書」：
http://www.ipa.go.jp/security/vuln/vuln_TCPIP.html⇒「組込みシステムのセキュリティへの取組みガイド（2010 年度改訂版）」：
http://www.ipa.go.jp/security/fy22/reports/emb_app2010/⇒「ファジング活用の手引き」、「ファジング実践資料」：
http://www.ipa.go.jp/security/vuln/fuzzing.html

3-3. 一般インターネットユーザー
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がける必要があります。ソフトウ
ェアを利用する場合は、脆弱性対策を実施してから利用してください。
なお、一般インターネットユーザー向けには、以下のツールを提供しています。
⇒「MyJVN 情報収集ツール」：http://jvndb.jvn.jp/apis/myjvn/mjcheck.html
脆弱性対策情報を効率的に収集するためのツール。
⇒「MyJVN バージョンチェッカ」：http://jvndb.jvn.jp/apis/myjvn/vccheck.html
利用者の PC、サーバ上にインストールされたソフトウェア製品のバージョンを容易にチェックする等の機能。

3-4. 発見者
脆弱性関連情報の適切な流通のため、届出した脆弱性関連情報については、脆弱性が修正され20

るまでの期間は第三者に漏れぬよう、適切に管理されることを求めます。

21

付表 1. ソフトウェア製品の脆弱性の原因分類
脆弱性の原因説明

届出において想定された脅威1

設定情報の漏洩通信の不正中継
ア ク セ ス 制 御 の 不 アクセス制御を行うべき個所において、なりすまし
備
アクセス制御が欠如している。
任意のスクリプトの実行
認証情報の漏洩2

アクセス制限の回避
価格等の改ざん
サービス不能
資源の枯渇
ウェブアプリケーションに対し、入力さ 重要情報の漏洩れた情報の内容の解釈や認証情報の取 情報の漏洩
ウ ェ ブ ア プ リ ケ ー 扱い、出力時の処理に問題がある。「ク セッション・ハイジャック
ションの脆弱性
ロスサイト・スクリプティング」攻撃や 通信の不正中継「SQL インジェクション」攻撃などに なりすまし利用されてしまう。
任意のコマンドの実行
任意のスクリプトの実行
任意のファイルへのアクセス
認証情報の漏洩3

仕様上の不備4

ウェブブラウザやメールクライアント
ソフトに証明書を検証する機能が実装
証明書の検証に関証明書の確認不能されていない、または、検証が正しく行
する不備
なりすまし
われずに、偽の証明書を受けいれてしまう。

5

アプリケーションの異常終
本来、厳しい制限のあるセキュリティコ
セキュリティコン
了
ンテキストで取り扱うべき処理を、緩いテキストの適用の情報の漏洩
制限のセキュリティコンテキストで処不備
任意のコードの実行
理してしまう。
任意のスクリプトの実行

6

想定外の長さの入力が行われた場合に、サービス不能バ ッ フ ァ の チ ェ ッ 長さをチェックせずバッファに入力し任意のコードの実行
クの不備てしまう。「バッファオーバーフロー」
任意のコマンドの実行攻撃に利用されてしまう。

7

処理の際のパラメータとして指定されているディレクトリ名やファイル名、フ アプリケーションの異常終ァイルの内容をチェックしていない。任 了
ファイルのパス名、 意のディレクトリのファイルを指定で サービス不能
内 容 の チ ェ ッ ク の きてしまい、「ディレクトリ・トラバー 資源の枯渇
不備
サル」攻撃に利用されてしまう。また、 任意のファイルへのアクセ
破損したファイルや不正に書き換えら ス
れたファイルを処理した際に不具合が 認証情報の漏洩生じる。

RFC 等の公開された規格に準拠して、 サービス不能
設計、実装した結果、問題が生じるもの。 資源の枯渇

22

付表 2. ウェブサイトの脆弱性の分類
脆弱性の種類

深刻度

説明

届出において想定された脅威高個人情報の漏洩
一般に公開すべきでないファイルが公開さ サーバ内ファイルの漏れており、自由に閲覧できる状態になって 洩いる
データの改ざん、消去
なりすまし

2

パス名パラメータの未チェック

高ユーザからの入力を処理する際のパラメー
タとして指定されているファイル名を、ユ サーバ内ファイルの漏ーザが変更し、ウェブサーバ上の任意のデ 洩ィレクトリのファイルを指定できてしまう

3

ディレクトリ･トラバーサル

高ウェブサーバ上のディレクトリのアクセス 個人情報の漏洩権を超えて、本来許可されている範囲外の サーバ内ファイルの漏
ディレクトリにアクセスできる洩

4

セッション管理の不備高セッション管理に、推測可能な情報を使用
Cookie 情報の漏洩しているため、他のユーザの情報が容易に
個人情報の漏洩
推測でき、他のユーザになりすまして、サ
なりすましービスを利用することができる

5

SQL インジェクション

高

個人情報の漏洩
入力フォームなどへ SQL コマンド（データサーバ内ファイルの漏
ベースへの命令）を入力し、データベース
洩
内の情報の閲覧、更新、削除などができる
データの改ざん、消去

6

DNS 情報の設定不備

高

DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名の持ち主 ドメイン情報の挿入
であるかのようにふるまえてしまう中

外部の第三者により、他のサーバへのアクセスを中継するサーバとして利用され、不踏み台
正アクセスなどの際にアクセス元を隠すた
めの踏み台にされてしまう中

Cookie 情報の漏洩
サーバ内ファイルの漏
ユーザの Cookie 情報を知らないうちに転 洩送させたり、偽の情報を表示させたりする 個人情報の漏洩
ような罠のリンクをユーザにクリックさ データの改ざん、消去
せ、個人情報等を盗むことができる
なりすまし
本物サイト上への偽情報の表示

中ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそかにア
データの改ざん、消去
クセスさせ、登録情報の変更や商品の購入をさせることができる

中

攻撃者がユーザに対し、悪意のある要求をウェブサーバに送信するように仕向けるこ
ウェブキャッシュ情報とで、ウェブサーバからの応答を分割させのすり替えて応答内容をすり替え、ユーザに対して偽のページを表示させることができる

中

ユーザに対し、ソフトウェアをインストー
ルさせたり、ブラウザのセキュリティレベ 利用者のセキュリティ
ルを下げるよう指示することでクライアン レベルの低下
ト PC のセキュリティ設定を低下させる

中

ウェブサーバに設置したリダイレクタが悪踏み台
意あるリンクへの踏み台にされたり、その本物サイト上への偽情
ウェブサイト上で別のサイト上のページを報の表示表示させられてしまう

1

ファイルの誤った公開7

オープンプロキシ

8

クロスサイト･
スクリプティング

9

クロスサイト・リク
エスト・フォージェ
リ

10

HTTP レスポンス分
割

セキュリティ設定の11 不適切な変更

リダイレクタの不適
12 切な利用23

脆弱性の種類

深刻度

フィルタリングの回
13 避

OS コマンド・インジ
14 ェクション

15 メールの第三者中継

16

HTTPS の不適 切 な
利用

17 価格等の改ざん

届出において想定された脅威説明中

ウェブサイトのサービスやブラウザの機能として提供されているフィルタリング機能 利用者のセキュリティが回避される問題。これにより、本来制限 レベルの低下されるはずのウェブページを閲覧してしま なりすましう

中

攻撃者がウェブアプリケーションを介してウェブサーバの OS コマンドを実行できてしまい、サーバ内ファイルの閲覧やシステ 任意のコマンドの実行
ム操作、不正なプログラムの実行などを行
われてしまう低利用者が入力した内容を管理者が指定した
メールアドレスに送信する機能で、外部のメールシステムの不正利用者が宛先メールアドレスを自由に指定利用できてしまい、迷惑メール送信の踏み台に
悪用される

低

HTTPS による暗号化をしているが、暗号の選択や設定が十分でなかったり、ウェブサ
イトでのユーザへの説明に間違いがある、 なりすまし
または、ウェブサイトの設計上、ユーザから証明書が確認できない

低ショッピングサイトにおいて、価格情報等
が利用者側で書き換えられる。書き換えに データの改ざんよる被害は、ウェブサイト側に限定される

・API: Application Program Interface

・RFC: Request For Comments

・CGI: Common Gateway Interface

・SQL: Structured Query Language

・DNS: Domain Name System

・SSI: Server Side Include

・HTTP: Hypertext Transfer Protocol

・SSL: Secure Socket Layer

・HTTPS: Hypertext Transfer Protocol Security

・TCP: Transmission Control Protocol

・URI: Uniform Resource Identifier・URL: Uniform Resource Locator・ISAKMP : Internet Security Association
Key Management Protocol: Multipurpose Internet Mail Extension

・MIME

付図１．「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み）
脆弱性関連情報流通体制

脆弱性関連
情報届出

ソフトウェア
製品の脆弱性

脆弱性関連
情報通知

受付・分析機関

発
見
者

報告された
脆弱性関連情報の内容確認・検証

対応状況の集約、
公表日の調整等

調整機関
公表日の決定、
海外の調整機関との連携等

脆弱性対策情報ポータル

対応状況等
公表

ソフトウェア
システム
製品開発者
導入支援者
検証、対策実施

分析支援機関セキュリティ対策推進協議会等

ウェブサイトの
脆弱性

脆弱性関連
情報届出

産総研など

脆弱性関連情報通知

ウェブサイト運営者

ユーザ

政府
企業
個人

個人情報の漏えい時は事実関係を公表

検証、対策実施①製品開発者及びウェブサイト運営者による脆弱性対策を促進【期待効果】 ②不用意な脆弱性関連情報の公表や脆弱性の放置を抑制③個人情報等需要情報の流出や重要システムの停止を予防※IPA:独立行政法人情報処理推進機構, JPCERT/CC:一般社団法人 JPCERTコーディネーションセンター、産総研：独立行政法人 産業技術総合研究所

24