プレスリリース
2006 年 4 月 20 日
独立行政法人 情報処理推進機構
有限責任中間法人 JPCERT コーディネーションセンター

ソフトウエア等の脆弱性関連情報に関する届出状況 [2006 年第 1 四半期（1 月〜3 月）]
独立行政法人 情報処理推進機構（略称：IPA）および有限責任中間法人 JPCERT コーディネーションセンター（略称：JPCERT/CC）は、経済産業省告示「ソフトウエア等脆弱性関連情報取扱基準」（平成 16
年経済産業省告示 第 235 号）に基づき、2004 年 7 月から脆弱性関連情報の取扱いを開始しています。
IPA は脆弱性関連情報の届出受付、JPCERT/CC は国内の製品開発者などの関連組織との調整を行っています。今般、2006 年第 1 四半期（1 月〜3 月）の脆弱性関連情報の届出状況を以下のとおり、とりまとめました。

要約•

ソフトウエア製品の脆弱性関連情報
届出：34 件（届出受付開始からの累計は 167 件）

脆弱性公表：7 件（届出受付開始からの累計は 61 件）
なお、以上の他、製品開発者自身から脆弱性および対策情報の連絡を受けたものが 1 件ありました。
•

ウェブアプリケーションの脆弱性関連情報
届出：72 件（届出受付開始からの累計は 507 件）

修正完了：32 件（届出受付開始からの累計は 266 件）

今四半期の特徴は以下の通りです。
ウェブアプリケーションの脆弱性においては、「ファイルの誤った公開」1の届出件数が増加しました。これは、複数のウェブサイトで同じショッピングカートを使用しており、設置の際のアクセス権限の設定ミスにより、顧客情報が漏洩しているという届出があったためでした（p.8 図 3-2 参照）。
40

30

30

30

20
10

40

12

6
3

8
2

2004Q4

2005Q1

4

13

15

1

2

2005Q3

2005Q4

15

20

届出件数
累計

10

0

0
2005Q2

2006Q1

図 「ファイルの誤った公開」の届出件数の推移
ソフトウエア製品の届出においては、2005Q3 からオープンソースソフトウエアに関する届出が増加しており、今期は 10 件ありました（p.4 図 2.1 参照）。

1

一般に公開すべきでないファイルが公開されており、自由に閲覧できる状態になっているというものです。

1

届出件数2

1

2006 年 1 月 1 日から 3 月 31 日までの IPA への脆弱性関連情報の届出件数は、106 件（ソフトウエ
ア製品に関するもの 34 件、ウェブアプリケーションに関するもの 72 件）であり、届出受付開始（2004 年
7 月 8 日）からの累計は 674 件（ソフトウエア製品に関するもの 167 件、ウェブアプリケーションに関するもの 507 件）です。四半期毎の届出状況を図 1-1 に示します。就業日 1 日当たりの届出件数は 1.60 件であり、前四半期より増加しています。
就業日 1 日あたりの届出件数（四半期末時点）
120

2005/2Q

2005/3Q

2005/4Q

2006/1Q

100

1.42

1.57

1.58

1.60

600

507
435

500

379

四 80
半
期 60
件
数 40

400 累
計
300
件
200 数

277
211

102

140
67
32
13

12

18

2004/4Q

2005/1Q

2005/2Q

20

71
62

44

167
72

32

133
56
39

34

2005/3Q

2005/4Q

2006/1Q

66

94

100
0

0
ソフトウエア製品に関す る届出
ソフトウエア製品に関す る届出（累計）

ウェブ アプ リケー ションに関す る届出
ウェブ アプ リケー ションに関す る届出（累計）

図 1-1 脆弱性関連情報の四半期別届出件数の推移（1） ソフトウエア製品の脆弱性
ソフトウエア製品の脆弱性関連情報の届出について、処理状況を図 1-2 に示します。
図 1-2 に示すとおり、今四半期中に公表した脆弱性は、7 件（累計 61 件）です。また、「不受理」とした
ものは 7 件（累計 30 件）ありました。「不受理」の届出についても、必要に応じて製品開発者に伝えています。

（括弧内の数字は、今四半期に「公表」、「脆弱性でない」と判断されたもの等の件数）

53件

2005年
9月末

41

12

24

17

合計94件

69件
2005年
12月末

54

15

41

23

合計133件取扱い終了：76件(7件)
公表済み

2006年
3月末

不受理
30 (7)

取扱い中61

15 (0)

61 (7)

合計
167件

脆弱性ではない
0

20

40

60

80

100

120

140

公表済み
脆弱性ではない： JVN で脆弱性への対応状況を公表したもの： 製品開発者により脆弱性ではないと判断されたもの

取扱い中
不受理

： 製品開発者が調査、対応中のもの： 告示で定める届出の対象に該当しないもの

160

180

図 1-2 ソフトウエア製品 各時点における脆弱性関連情報の届出の処理状況
2

届出件数は、実際にウェブフォームやメールで届出を受けた件数と同じではありません。1 つの届出に複数の脆弱性関連情報が含まれる場合は、その脆弱性の数だけ分割して計上しています。

2

このほかに、製品開発者自身から脆弱性およびその対策情報の連絡を受け、公表したものが 1 件ありました。
（2） ウェブアプリケーションの脆弱性
ウェブアプリケーションの脆弱性関連情報の届出について、処理状況を図 1-3 に示します。
図 1-3 に示すとおり、ウェブアプリケーションの脆弱性については、今四半期中に処理を終了したもの
は 55 件（累計 347 件）でした。このうち、「修正完了」したものは 32 件（累計 266 件）、ウェブサイト運営
者により「脆弱性はない」と判断されたものは 12 件（累計 49 件）、脆弱性を「運用で回避」すると対応されたものが 2 件（累計 10 件）、修正ではなく「当該ページを削除」することで対応されたものが 9 件（累計22 件）ありました。「修正完了」したものうちの 1 件（累計 69 件）はウェブサイト運営者からの依頼により
IPA が修正を確認しました。
このほか、「不受理」としたものが 9 件（累計 35 件）ありました。「連絡不可能」の届出のうち、15 件は修正されています。その中には、ウェブサイト運営者からの回答がないためレンタルサーバ会社と連絡を取り修正が確認できたサイト、脆弱箇所の記述が削除されていることが確認できたサイトがあります。
また、12 件は、当該ページ自体が削除されており、脆弱性がなくなっていることを確認しています。メー
ルや電話でウェブサイト運営者と連絡が取れない場合は、郵送手段などでの連絡を試みています。
（括弧内の数字は、今四半期に「修正完了」、「脆弱性ではない」と判断されたもの等の件数）

224件
2005年
9月末

177

29 6 12

102

31

8 13

86

22 合計379件

292件
2005年
12月末

234

37

31

修正完了

49
(12)

266 (32)

内確認済 69

合計435件

修正確認
済み 1 5

取扱い終了：347件(55件)
2006年
3月末

26

22
(9)

取扱い中

削除 未修正/1 2 不明 11

38
(7)

87

35
(9)

合計
507件

脆弱性ではない 運用で回避(10) 当該ページを削除 連絡不可能 不受理
0

50

100

150

200

250

300

350

400

450

修正完了
脆弱性ではない
運用で回避
当該ページを削除
確認済： ウェブサイト運営者により脆弱性が修正されたもの： ウェブサイト運営者により脆弱性はないと判断されたもの： 修正はせず、運用により被害を回避しているもの： 修正ではなく当該ページを削除することで対応されたもの： 修正完了のうち、IPA が修正を確認したもの

取扱い中
連絡不可能
不受理

： ウェブサイト運営者が調査、対応中のもの： ウェブサイト運営者からの回答がなく、取扱いができないもの： 告示で定める届出の対象に該当しないもの

図 1-3 ウェブアプリケーション 各時点における脆弱性関連情報の届出の処理状況

3

500

550

2

ソフトウエア製品の脆弱性関連情報の取扱いおよび調整

2.1

ソフトウエア製品の脆弱性情報

図 2-1 に、届出受付開始から今四半期までに IPA に届出られたソフトウエア製品の内訳を示します。
2005Q3 からオープンソースソフトウエアに関する届出が増加しており、今期は 10 件ありました。オープ
ンソースソフトウエアの届出についても、開発者、開発コミュニティに通知し、1 件を除き対応が取られています。これは、既にサポートが終了した機能であるため、新たな修正はしないというものでした。
30
24

25
20

16

15

15

17

15

12

10

8

10
4

5

24

2

1

0
2004Q4

図 2-1

2005Q1

2005Q2

2005Q3

オープンソース

それ以外

2005Q4

2006Q1

ソフトウエア製品の脆弱性 内訳（届出受付開始から 2006 年 3 月末まで）

届出受付開始から今四半期までに IPA に届出られたソフトウエア製品に関する脆弱性関連情報 167
件のうち、不受理のものを除いた 137 件の製品種類別の内訳を図 2-2 に、原因別の内訳を図 2-3 に、
脅威別の内訳を図 2-4 に示します。

1%
1%
1%
1%
2%
2%
3%
4%

9%

1%

21%(24%)

18%(14%)4%
6%(7%)
10%(11%)

15%(13%)※1 件のものはその他に分類しています。
情報家電、ミドルウェアがあります

図 2-2（137 件の内訳）

ウェブブラウザ
ウェブアプリ構築関係
グループウェア
メールソフトアンチウイルスソフト
システム管理ソフトOS
検索システム
プロキシ
ルータ
IP 電話
ウェブサーバ
SSL-VPNソフト
携帯機器
ネーム・ディレクトリサーバ
その他（グラフの括弧内は前四半期の数字）

ソフトウエア製品の脆弱性 種類別内訳（届出受付開始から 2006 年 3 月末まで）

図 2-2 に示すように、IPA に届出があった脆弱性には、「ウェブブラウザ」「ウェブアプリ構築関係」など、ウェブに関連する製品についての脆弱性が多くあります。パソコンなどのコンピュータ上で動くソフトウエ
アだけでなく、情報家電や携帯機器などに関するものも含まれています。

4

ウェブアプリケーションの脆弱性

19%

ファイルのパス名、内容のチェックの不備
セキュリティコンテキストの適用の不備
40%(36%)12%

証明書の検証に関する不備
アクセス制御の不備
バッファのチェックの不備

1%

仕様上の不備4%その他 ウェブに関連する不備

4%(5%)
4%(5%)

図 2-3

その他 実装上の不備

10%(11%)

7%(7%)（137 件の内訳）

ソフトウエア製品の脆弱性 原因別内訳（届出受付開始から 2006 年 3 月末まで）3

3%

2%

1%

4%
24%(23%)

3%
4%
4%
4%
6%

12%(12%)7%8%(10%)

図 2-4

10%(10%)9%(12%)

任意のスクリプトの実行
情報の漏洩
サービス不能なりすまし
認証情報の漏洩
任意のコマンドの実行
アプリケーションの異常終了
任意のファイルへのアクセス
セッション・ハイジャック
資源の枯渇
URL等の表示の偽装
通信の不正中継
任意のコードの実行
証明書の確認不能
その他（137 件の内訳）

ソフトウエア製品の脆弱性 脅威別内訳（届出受付開始から 2006 年 3 月末まで）

図 2-3 に示すように、脆弱性の原因は「ウェブアプリケーションの脆弱性」が最多であり、図 2-4 に示す
ように、脅威についても「任意のスクリプト実行」が最多となっています。
今期は、複数のメールクライアントソフトにおいて、2000 年にも問題になった、デバイスファイルの名前を含むファイルの取扱いについての脆弱性（表 2-2 項番 1）が修正され、公表されました。
2.2

ソフトウエア製品の脆弱性情報の調整および公表状況

JPCERT/CC は、表 2-1 に示す 3 種類の脆弱性関連情報について、日本国内の製品開発者当の関係者、および海外 CSIRT4の協力のもと、海外の製品開発者との調整を行っています。これらの脆弱性
関連情報に対する製品開発者の対応状況は、IPA と JPCERT/CC が共同運営している脆弱性対策情報
ポータルサイト JP Vendor status Notes（JVN）において公表しています（URL： http://jvn.jp/）。

3

それぞれの脆弱性の詳しい説明については付録を参照してください。
CSIRT（Computer Security Incident Response Team）は、コンピュータセキュリティに関するインシデント（事故）への対応や調整、サポートをするチームのことです。

45

表 2-1 脆弱性関連情報の提供元別 脆弱性公表件数
情報提供元

今期

累計

① 国内の発見者から IPA に届出があったもの（1.（1）に記載）

761② 製品開発者自身から自社製品の脆弱性、対策方法について連絡を受けたもの

1

6③ 海外 CSIRT から連絡を受けたもの

7

99

15

166

計
（1） 国内の発見者および製品開発者から届出があり公表した脆弱性

届出受付開始から 2006 年 3 月末までの届出について、脆弱性関連情報の届出（表 2-1 の①）を受理してから製品開発者が対応状況を公表するまでに要した日数を図 2-5 に示します。全体の 43％の届出が 45 日以内に公表されています。

2

11

0%

10%

7

20%

平均公表日数
2005/4Q まで
当該期公表分
通算
72

6

30%

〜 10日
46日 〜 100日

20

40%

50%

11日 〜 20日
101日 〜 200日

図 2-5

60%

2006/1Q
114
77

9

70%

21日 〜 30日
201日 〜 300日

80%

4

90%

2

100%

31日 〜 45日
301日 〜

ソフトウエア製品の脆弱性 公表日数

表 2-2 に、国内の発見者および製品開発者から届出・連絡を受け、2006 年第 1 四半期に公表した脆弱性（表 2-1 の①および②）を示します。複数の製品開発者のソフトウエア製品に影響がある脆弱性は、≪複数のメールクライアントソフトにおける、添付ファイルによりメールクライアントソフトが使用不能になる脆弱性≫（表 2-2 項番 1）の 1 件であり、特定の製品に関する脆弱性は 7 件でした。≪「ハイパー日記システム」においてメールの不正送信が可能な脆弱性≫（項番 7）は、製品開発者自身から脆弱性およびその対策情報の連絡を受けたものです（前述の②）。
表 2-2 2006 年第 1 四半期に JVN で公表した脆弱性
項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN 公表日

複 数開 発 者 ・製品 に影 響 が あ
る脆弱性
特定製品
の脆弱性

1

複数のメールクライアントソフトにおいて、添付ファ
複数のメールクライアント
イル名にデバイスファイルの名前を含むメールをソフトにおける、添付ファ取り扱う際に、処理が停止する問題があります。ま 2006 年
イルによりメールクライア
た、停止しないまでも送受信処理が終了しなくなっ 1 月 31 日
ントソフトが使用不能になたり、関連付けられたアプリケーションでエラーメッ
る脆弱性
セージが表示される可能性があります。

2「長崎県電子県庁システム」の一部には、認証情「長崎県電子県庁システ
報がソースコード中に組込まれています。ソースコ 2006 年
ム」における認証情報にードが公開されているため、第三者が正規ユーザ 1 月 12 日
関する脆弱性になりすます可能性があります。

6

項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN 公表日

特定製品の脆弱性︵
続き︶

3「長崎県電子県庁システム」の一部には、認証が「長崎県電子県庁システ
十分に行われない問題があります。このため、第 2006 年
ム」における認証処理に三者が正規ユーザになりすます可能性がありま 1 月 12 日
関する脆弱性す。

4

メールクライアントソフトウェア「Eudora」の日本語「Eudora」日本語版が使 版には、破損した画像ファイルを含むメールを表示 2006 年
用できなくなる脆弱性
すると、処理が停止し使用できなくなる問題があり 1 月 17 日ます。

5

「はてなツールバー」には、利用者が閲覧している「はてなツールバー」にお ウェブページの URL 情報を「はてなサーバ」に送信
2006 年ける URL 情報の扱いに する機能がありますが、この際、URL 中にセッショ
2月1日
関する問題
ン管理情報などの機密情報が含まれていても、通信を暗号化せずに送信してしまう問題があります。

6「長崎県電子県庁システム」の一部には、ユーザか「長崎県電子県庁システ
ら入力された内容を元に SQL 文を組み立てる処理 2006 年
ム」における SQL インジに問題があります。このため、第三者により任意の 2 月 3 日ェクションの脆弱性
SQL 命令を実行される可能性があります。

7「ハイパー日記システム」に同梱されているメッセー「ハイパー日記システム」 ジ送信プログラムには、日記読者から、細工された2006 年においてメールの不正送 入力値を受け取った際に、日記管理者があらかじ
2 月 28 日
信が可能な脆弱性
め設定したメールアドレス以外の宛先に、メールを送信してしまう問題があります。

8「the Minnu's filer2」にお Unix 用のファイル管理ソフト「the Minnu's filer2」
いて、使用中のユーザの は、処理に利用する Unix ソケットが誰からでもアク2006 年
権 限 で 別 の ユ ー ザ に 任 セス可能なために、ログイン中の別のユーザにより3月1日
意の Ruby スクリプトを 当該製品を起動中のユーザの権限で任意の Ruby
スクリプトが実行されてしまう問題があります。
実行される脆弱性（2）海外 CSIRT から連絡を受け公表した脆弱性
表 2-3 に、海外 CSIRT から連絡を受けた脆弱性を示します。海外 CSIRT から連絡を受けた脆弱性
情報は、登録された国内の製品開発者のうち関連する製品開発者へ通知したうえ、日本語訳を JVN に掲載しています。2006 年第 1 四半期は、米国 CERT/CC から 7 件の脆弱性関連情報の連絡を受けました。英国 NISCC（National Infrastructure Security Co-ordination Centre）から連絡を受けたものはありませんでした。このほか、12 件の US-CERT Technical Cyber Security Alert を JVN で公表しました。
表 2-3 CERT/CC から連絡を受けた脆弱性関連情報および対応状況
項番

脆 弱 性

対応状況

1

Windows メタファイルハンドラで呼び出される GDI Escape ファンクションに脆弱性

JVN 掲載2

PAM-MySQL にサービス運用妨害（DoS）攻撃を受ける脆弱性

JVN 掲載3Internet Explorer に ActiveX Control の Kill bit 確認を回避できる脆弱性

JVN 掲載4

Microsoft Windows の権限昇格に関する脆弱性

5

Oracle PL/SQL Gateway の HTTP request 検証機構に脆弱性

6

sendmail におけるシグナルの扱いに関する脆弱性

7

Microsoft Internet Explorer の createTextRange() に関する脆弱性
7

複数製品開発者に展開
JVN 掲載複数製品開発者に展開
JVN 掲載3

ウェブアプリケーションの脆弱性関連情報の取扱い

3.1

ウェブアプリケーションの脆弱性情報

届出受付開始から今四半期末までに IPA に届出られたウェブアプリケーションの脆弱性関連情報 507
件のうち、不受理のものを除いた 472 件の種類別内訳を図 3-1 に、脅威別内訳を図 3-2 に示します。
1%
2%
2%
3%

1%

1%

クロスサイト・スクリプティング
SQLインジェクション
ファイルの誤った公開
DNS情報の設定不備
パス名パラメータの未チェック
価格等の改ざん
HTTPレスポンス分割
アクセス制限の回避
セッション管理の不備
ディレクトリ・トラバーサル
オープンプロキシ
メールの第三者中継
セキュリティ設定の不適切な変更
クロスサイト・リクエスト・フォージェリ
リダイレクタの不適切な利用
その他

5%

1%
1%

39%(42%)
3%
3%
5%
6%
6%(4%)
21%(18%)（472 件の内訳）

図 3-1（グラフの括弧内は前四半期の数字）

ウェブアプリケーションの脆弱性種類別内訳（届出受付開始から 2006 年 3 月末まで）3

図 3-1 に示すように、脆弱性の種類は、依然として「クロスサイト・スクリプティング」が最多ですが、「SQL インジェクション」、「ファイルの誤った公開」が増加しています。
「SQL インジェクション」の届出の多くは、データベースのエラーメッセージが表示されたページを発見したというものです。これまでに取扱いを終了した 64 件のうち、38 件は「SQL インジェクション」の問題が実際にあり修正したとの報告を受け、残りの 26 件はエラーメッセージが表示されていただけで実際にはSQL コマンドを挿入することはできず、「SQL インジェクション」の問題はなかったとの報告を受けました。
「ファイルの誤った公開」の増加は、複数のウェブサイトで、ショッピングカートを設置する際にアクセス制限の設定に不備があり、利用者の情報が誰からでも閲覧できる状態になってしまっていたという届出があったことによるものです。現在は、利用者の情報にはアクセスできないようになっています。「ファイルの誤った公開」の届出件数の推移を図 3-2 に示します。
35

35
30

30

20

15

15
8

3 6

2

2004Q4

2005Q1

20
15

15

13

12

10
5

30
25

25

10

4
1

2

2005Q3

2005Q4

5
0

0

図 3-2

2005Q2

2006Q1「ファイルの誤った公開」の届出件数の推移

8

届出件数
累計

3%

3%

2% 2%

0.4%

2%
データの改ざん、消去
Cookie情報の漏洩
本物サイト上への偽情報の表示
個人情報の漏洩
サーバ内ファイルの漏洩
ドメイン情報の挿入
利用者のセキュリティレベルの低下
ウェブキャッシュ情報のすり替え
なりすまし
踏み台
メールシステムの不正利用
サーバ実装情報の漏洩
その他

24%(22%)3%
6%

8%(9%)

9%(7%)
22%(26%)
15%(15%)（472 件の内訳） （グラフの括弧内は前四半期の数字）

図 3-3

ウェブアプリケーションの脆弱性脅威別内訳（届出受付開始から 2006 年 3 月末まで）

図 3-3 に示すように、発見者が届出時に想定した脅威別では、「SQL インジェクション」により起こりうる「データの改ざん、消去」が最多であり、次いで「クロスサイト・スクリプティング」により起こりうる「Cookie 情報の漏洩」「本物サイト上への偽情報の表示」があります。また「ファイルの誤った公開」により起こりうる「個人情報の漏洩」が増加しています。

3.2

ウェブアプリケーションの脆弱性の修正状況

届出受付開始から 2006 年 3 月末までの届出について、ウェブサイト運営者に脆弱性の詳細情報を通知してから修正されるまでに要した日数およびその傾向を、脆弱性の種類別に図 3-4 および図 3-5 に示します。全体の 81％の届出が、90 日以内に修正されています。
その他 (23件)
パス名パラメー タの未チェック (5件)
デ ィレクトリ・トラバー サル (6件)セッション管理の不備 (8件)
ファイルの誤った公開 (9件)
HTTPレスポンス分割 (12件)
DNS情報の設定不備 (27件)
SQLインジェクション (38件)
クロスサイト・スクリプティング （138件）

45
40
35
30
25
20
15
10
5
0
当日

1日

2日

3日

図 3-4

4日
〜 5日

6日
〜 10日

11日
21日
31日
〜 20日 〜 30日 〜 50日

51日
91日
201日 301日 〜〜 90日 〜 200日 〜 300日

ウェブアプリケーションの脆弱性修正に要した日数

9クロスサイト・スクリプティング (138件)
SQLインジェクション (38件)
DNS情報の設定不備 (27件)
HTTPレスポンス分割 (12件)
ファイルの誤った公開(9件)

セッション管理の不備(8件)

デ ィレクトリ・トラバー サル(6件)

パス名パラメー タの未チェック(5件)

その他 (23件)
全体 (266件)
0%
当日
6日 〜 10日
91日 〜 200日

20%

1日
11日 〜 20日
201日 〜 300日

図 3-5

4

10%

30%

40%

2日
21日 〜 30日
301日 〜

50%

60%

70%

3日
31日 〜 50日

80%

90%

4日 〜 5日
51日 〜 90日

ウェブアプリケーションの脆弱性修正に要した日数の傾向

皆様へのお願い
脆弱性の修正を促進していくため、以下のとおり、ご注意ください。

z

ウェブサイト運営者およびシステム構築事業者の皆様へ
ショッピングカート、メール送信フォームなど、他の人が作成したソフトをダウンロード等で入手し、利用するケースは多いと考えられますが、その利用に際し、そのソフトに脆弱性があったり、設定のミスが原因で、脆弱性が発生しているケースがあります。他の人が作成したソフトを利用する際には、その安全性を充分に確認してください。

z

一般インターネットユーザの皆様へ
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がけてください。
■ お問い合わせ先
独立行政法人 情報処理推進機構 セキュリティセンター
Tel: 03-5978-7527

Fax: 03-5978-7518

E-mail: vuln-inq@ipa.go.jp
有限責任中間法人 JPCERTコーディネーションセンター
Tel: 03-3518-4600

Fax: 03-3518-4602

E-mail: office@jpcert.or.jp

10

100%

プレスリリース付録

付表 1 ソフトウエア製品 脆弱性の原因分類
脆弱性の原因アクセス制御の不備
1

2

説明

届出において想定された脅威

アクセス制御を行うべき個所において、アクセス制 設定情報の漏洩
御が欠如している
通信の不正中継
なりすまし
任意のスクリプトの実行
認証情報の漏洩

ウェブアプリケーション ウェブアプリケーションに対し、入力された情報のチ アクセス制限の回避
ェックや内容の解釈、認証情報の取扱いに問題が 価格等の改ざんの脆弱性ある。「クロスサイト・スクリプティング」攻撃や「SQL サービス不能
資源の枯渇
インジェクション」攻撃などに利用されてしまう
重要情報の漏洩
情報の漏洩
セッション・ハイジャック
通信の不正中継
なりすまし
任意のコマンドの実行
任意のスクリプトの実行
任意のファイルへのアクセス
認証情報の漏洩仕様上の不備3

RFC 等の公開された規格に準拠して、設計、実装しサービス不能た結果、問題が生じるもの。プロトコル上の不備が資源の枯渇ある場合、ここに含まれる

4

証明書の検証に関する ウェブブラウザやメールクライアントソフトに証明書を検証する機能が実装されていない、または、検証 証明書の確認不能
不備
が正しく行われずに、偽の証明書を受けいれてしま なりすましう

5

セキュリティコンテキスト 本来、厳しい制限のあるセキュリティコンテキストで アプリケーションの異常終了
取り扱うべき処理を、緩い制限のセキュリティコンテ 情報の漏洩の適用の不備任意のコードの実行
キストで処理してしまう
任意のスクリプトの実行
バッファのチェックの

6

7

不備

想定外の長さの入力が行われた場合に、長さをチェ サービス不能
ックせずバッファに入力してしまう。「バッファオーバ 任意のコードの実行
任意のコマンドの実行
ーフロー」攻撃に利用されてしまう。

ファイルのパス名、内容 処理の際のパラメータとして指定されているディレク アプリケーションの異常終了
トリ名やファイル名、ファイルの内容をチェックしていのチェックの不備
サービス不能ない。任意のディレクトリのファイルを指定できてしま
資源の枯渇
い、「ディレクトリ・トラバーサル」攻撃に利用されてし任意のファイルへのアクセスまう。また、破損したファイルや不正に書き換えられ認証情報の漏洩たファイルを処理した際に不具合が生じる

11プレスリリース付録

付表 2 ウェブアプリケーション脆弱性の分類
脆弱性の種類

1

ファイルの誤った公開

深刻度

説明

届出において想定された脅威高個人情報の漏洩
一般に公開すべきでないファイルが公開されて サーバ内ファイルの漏洩
おり、自由に閲覧できる状態になっている
データの改ざん、消去
なりすまし

2

パス名パラメータの未チェック

高ユーザからの入力を処理する際のパラメータとして指定されているファイル名を、ユーザが変更
サーバ内ファイルの漏洩
し、ウェブサーバ上の任意のディレクトリのファイルを指定できてしまう

3

ディレクトリ･トラバーサル

高ウェブサーバ上のディレクトリのアクセス権を超
個人情報の漏洩
えて、本来許可されている範囲外のディレクトリ
サーバ内ファイルの漏洩にアクセスできる高セッション管理に、推測可能な情報を使用していCookie 情報の漏洩
るため、他のユーザの情報が容易に推測でき、個人情報の漏洩
他のユーザになりすまして、サービスを利用すなりすましることができる

高

入力フォームなどへ SQL コマンド（データベース 個人情報の漏洩
への命令）を入力し、データベース内の情報の サーバ内ファイルの漏洩
データの改ざん、消去
閲覧、更新、削除などができる高

DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名の持ち主である ドメイン情報の挿入
かのようにふるまえてしまう中

個人情報の漏洩
本来設けられているアクセス制御機能による制なりすまし
限を回避し、制限により行えないはずの活動が利用者のセキュリティレ
できてしまうベルの低下

中外部の第三者により、他のサーバへのアクセスを中継するサーバとして利用され、不正アクセス
踏み台などの際にアクセス元を隠すための踏み台にさ
れてしまう

中

Cookie 情報の漏洩
サーバ内ファイルの漏洩
ユーザの Cookie 情報を知らないうちに転送さ個人情報の漏洩せたり、偽の情報を表示させたりするような罠のデータの改ざん、消去
リンクをユーザにクリックさせ、個人情報等を盗なりすましむことができる
本物サイト上への偽情報の表示

中

ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそかにアクセスさデータの改ざん、消去
せ、登録情報の変更や商品の購入をさせることができる

中

攻撃者がユーザに対し、悪意のある要求をウェ
ブサーバに送信するように仕向けることで、ウェ ウェブキャッシュ情報のブサーバからの応答を分割させて応答内容をす すり替え
り替え、ユーザに対して偽のページを表示させることができる

4

5

6

7

8

9

セッション管理の不備

SQL インジェクション

DNS 情報の設定不備

アクセス制限の回避

オープンプロキシ

クロスサイト･
スクリプティング

クロスサイト・リクエスト・
10
フォージェリ

11 HTTP レスポンス分割

12

プレスリリース付録
脆弱性の種類

深刻度

説明

届出において想定された脅威中

ユーザに対し、ソフトウエアをインストールさせたり、ブラウザのセキュリティレベルを下げるよう 利用者のセキュリティレ
指示することでクライアント PC のセキュリティ設 ベルの低下
定を低下させる

リダイレクタの不適切な
13
利用

中

ウェブサーバに設置したリダイレクタが、悪意あ踏み台るリンクへの踏み台にされたり、そのウェブサイ
本物サイト上への偽情報
ト上で、別のサイト上のページを表示させられての表示しまう

14 メールの第三者中継

低他人のメールサーバを用いることで、自分の身 メールシステムの不正利
元を隠してメールを送信することができる
用

低HTTPS による暗号化をしているが、ユーザへの説明に間違いがある、または、ウェブサイトの なりすまし
設計上、ユーザから証明書が確認できない

低ショッピングサイトにおいて、価格情報等が利用者側で書き換えられる。書き換えによる被害 データの改ざん
は、ウェブサイト側に限定される

セキュリティ設定の12
不適切な変更HTTPS の不適切な
15
利用

16 価格等の改ざん

API: Application Program Interface

DNS: Domain Name System

CGI: Common Gateway Interface

HTTP: Hypertext Transfer Protocol

HTTPS : Hypertext Transfer Protocol Security
ISAKMP : Internet Security Association Key Management Protocol
RFC: Request For Comments

SQL: Structured Query Language

SSI: Server Side Include

SSL: Secure Socket Layer

TCP: Transmission Control Protocol

URI: Uniform Resource Identifier

URL: Uniform Resource Locator13

プレスリリース付録「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み）
ソフトウエア製品の脆弱性

IPA, JPCERT/CC

脆弱性関連情報通知 JPCERT

IPA【受付機関】
受付機関】
報告された
脆弱性関連
情報の
内容の確認

発見者

ウェブサイトの脆弱性

脆弱性関連
情報届出

/CC

製品開発者

脆弱性関連
情報届出

【調整機関】
調整機関】 対応状況の集約，
公表日の決 公表日の
調整等
定，海外の
調整機関と
の連携等

脆弱性関連情報通知

システム導入支援者

対策情報ポータル
（JVN）

対応状況
等公表

政府
企業

セキュリティ
対策推進
協議会 等

個人情報
漏洩時は
ウェブサイト 事実関係を
運営者
公表
検証，対策
実施

①製品開発者及びウェブサイト運営者による脆弱性対策を促進【期待効果】 ②不用意な脆弱性関連情報の公表や脆弱性の放置を抑制③個人情報等重要情報の流出や重要システムの停止を予防

14

ユーザ

個人