プレスリリース
2005 年 10 月 12 日
独立行政法人 情報処理推進機構
有限責任中間法人 JPCERT コーディネーションセンター

ソフトウエア等の脆弱性関連情報に関する届出状況 [2005 年第 3 四半期（7 月〜9 月）]
独立行政法人 情報処理推進機構（略称：IPA）および有限責任中間法人 JPCERT コーディネーションセンター（略称：JPCERT/CC）は、経済産業省告示「ソフトウエア等脆弱性関連情報取扱基準」（平成 16
年経済産業省告示 第 235 号）に基づき、2004 年 7 月から脆弱性関連情報の取扱いを開始しています。
IPA は脆弱性関連情報の届出受付、JPCERT/CC は国内の製品開発者などの関連組織との調整を行っています。今般、2005 年第 3 四半期（7 月〜9 月）の脆弱性関連情報の届出状況を以下のとおり、とりまとめました。
•

ソフトウエア製品の脆弱性関連情報：32 件（届出受付開始からの累計は 94 件）

届出

脆弱性公表：12 件（届出受付開始からの累計は 41 件）
なお、以上の他、製品開発者自身から脆弱性および対策情報の連絡を受けたものが 2 件ありました。
•

1

ウェブアプリケーションの脆弱性関連情報
届出：102 件（届出受付開始からの累計は 379 件）

修正完了：53 件（届出受付開始からの累計は 177 件）

届出件数12005 年 7 月 1 日から 9 月 30 日までの IPA への脆弱性関連情報の届出件数は、134 件（ソフトウエ

ア製品に関するもの 32 件、ウェブアプリケーションに関するもの 102 件）であり、届出受付開始（2004
年 7 月 8 日）からの累計は 473 件（ソフトウエア製品に関するもの 94 件、ウェブアプリケーションに関するもの 379 件）です。四半期毎の届出状況を図 1-1 に示します。
120
100

就業日 1 日あたりの届出件数

1.59

1.47

1.44

73

四 80
半
期 60
件
数 40
20

379

2004/3Q 2004/4Q 2005/1Q 2005/2Q 2005/3Q
1.42

1.57

102
277

71

67

250 累
計
200
件
150 数

66

140
19

13

32

19

32

18

12
44

0
2004/3Q

2004/4Q

2005/1Q

ソフトウエア製品に関する届出
ソフトウエア製品に関する届出（累計）

350
300

211

73

400

94

100
50

62

0
2005/2Q

2005/3Q

ウェブアプリケーションに関する届出
ウェブアプリケーションに関する届出（累計）

図 1-1 脆弱性関連情報の四半期別届出件数の推移
1

届出件数は、実際にウェブフォームやメールで届出を受けた件数と同じではありません。1 つの届出に複数の脆弱性関連情報が含まれる場合は、その脆弱性の数だけ分割して計上しています。

1

（1） ソフトウエア製品の脆弱性
ソフトウエア製品の脆弱性関連情報の届出について、処理状況を図 1-2 に示します。
図 1-2 に示すとおり、今四半期中に公表2した脆弱性は、12 件（累計 41 件）です。また、製品開発者
により「脆弱性ではない」と判断されたものは 1 件（累計 12 件）、「不受理」としたものは 11 件（累計 17件）ありました。不受理にしたものの中には、製品の不具合ではあるものの悪用のシナリオが想定できず、セキュリティ上の問題とはいえないものも 4 件ありました。「不受理」の届出についても、必要に応じて製品開発者に伝えています。
20件
2005年
3月末

（括弧内の数字は、今四半期に「公表」、「脆弱性でない」と判断されたもの等の件数）

17

3

20

合計44件

4

40件
2005年
6月末

29

16

11

合計62件

6

取扱い終了：53件(13件)

公表済み

2005年
9月末

12(1)

41(12)

取扱い中

17(11)

24

脆弱性ではない
0

10

20

30

40

50

合計
94件

不受理
60

70

80

公表済み
脆弱性ではない： JVN で脆弱性への対応状況を公表したもの： 製品開発者により脆弱性ではないと判断されたもの

取扱い中
不受理

： 製品開発者が調査、対応中のもの： 告示で定める届出の対象に該当しないもの

90

100

図 1-2 ソフトウエア製品 各時点における脆弱性関連情報の届出の処理状況
このほかに、製品開発者自身から脆弱性およびその対策情報の連絡を受け、公表したものが 2 件ありました。
（2） ウェブアプリケーションの脆弱性
ウェブアプリケーションの脆弱性関連情報の届出について、処理状況を図 1-3 に示します。
図 1-3 に示すとおり、ウェブアプリケーションの脆弱性については、今四半期中に処理を終了したもの
は 71 件（累計 224 件）でした。このうち、「修正完了」したものは 53 件（累計 177 件）、ウェブサイト運営
者により「脆弱性はない」と判断されたものは 13 件（累計 29 件）、修正ではなく「当該ページを削除」することで対応されたものが 3 件（累計 12 件）ありました。「修正完了」したものうちの 8 件はウェブサイト運
営者からの依頼により IPA が修正を確認し（累計 63 件）、そのうち 1 件で、修正が不十分なために見直しを依頼しました。

2

IPA および JPCERT/CC が対応状況ポータルサイト「JVN」を運営し、製品開発者の脆弱性への対応状況を公表しています。脆弱性関連情報取扱いの枠組み「情報セキュリティ早期警戒パートナーシップ」の詳細は付録の図を参照してください。

2このほか、「連絡不可能」（ウェブサイト運営者と連絡が取れず、処理できない状態）になったものが 4件（累計 31 件）、「不受理」としたものが 10 件（累計 22 件）ありました。「連絡不可能」の届出のうち、13件は修正されています。その中には、ウェブサイト運営者とは連絡が取れないためレンタルサーバ会社と連絡を取り修正が確認できたサイト、脆弱箇所の記述が削除されていることが確認できたサイトがあります。また、7 件は、当該ページ自体が削除されており、脆弱性がなくなっていることを確認しています。
メールや電話でウェブサイト運営者と連絡が取れない場合は、郵送手段を用いるなどして連絡を試みています。
（括弧内の数字は、今四半期に「修正完了」、「脆弱性ではない」と判断されたもの等の件数）

118件
2005年
3月末

91

15 4 856

29

8 合計211件

153件
2005年
6月末

124

16 4 9

85

27

12

合計
277件 修正確認 削除 未修正/
済み 1 37

不明 11

取扱い終了：224件(71件)
修正完了

2005年
9月末

内確認済 63（8）177(53)
脆弱性ではない

0

取扱い中

29 12
6
(13) (3)運用で回避

31 22 合計
(4) (10) 379件

102

当該ページを削除

連絡不可能 不受理

50
100
修正完了
脆弱性ではない
運用で回避
当該ページを削除
確認済

150
200
250
300
： ウェブサイト運営者により脆弱性が修正されたもの： ウェブサイト運営者により脆弱性はないと判断されたもの： 修正はせず、運用により被害を回避しているもの： 修正ではなく当該ページを削除することで対応されたもの： 修正完了のうち、IPA が修正を確認したもの

取扱い中
連絡不可能
不受理

： ウェブサイト運営者が調査、対応中のもの： ウェブサイト運営者と連絡が取れず、取扱いができないもの： 告示で定める届出の対象に該当しないもの

350

図 1-3 ウェブアプリケーション 各時点における脆弱性関連情報の届出の処理状況

2

ソフトウエア製品の脆弱性関連情報の取扱いおよび調整

2.1

ソフトウエア製品の脆弱性情報

届出受付開始から今四半期までに IPA に届出られたソフトウエア製品に関する脆弱性関連情報 94件のうち、不受理のものを除いた 77 件の製品種類別の内訳を図 2-1 に、原因別の内訳を図 2-2 に、脅威別の内訳を図 2-3 に示します。

3

400

12%
24% (31%)

3%
3%
3%

ウェブブラウザ
メールクライアントソフト
ウェブアプリ構築関係
グループウェア
アンチウイルスソフト
システム管理ソフトOS
SSL-VPNソフト
検索システム
ネーム・ディレクトリサーバ
その他

4%
6% (5%)
14% (14%)8% (11%)10% (9%)13% (9%)（77 件の内訳） （グラフの括弧内は前四半期の数字）※1 件のものはその他に分類しています。
ウェブサーバ、プロキシサーバ、情報家電、携帯機器、ルータがあります

図 2-1

ソフトウエア製品種類別の届出件数の内訳（届出受付開始から 2005 年 9 月末まで）

ウェブアプリケーションの脆弱性

17%

セキュリティコンテキストの適用の不備
34%

ファイルのパス名、内容のチェックの不備
証明書の検証に関する不備

9%

アクセス制御の不備
3%バッファのチェックの不備

4%

仕様上の不備5%その他 ウェブに関連する不備
10%

8%
10%

図 2-2

その他 実装上の不備（77 件の内訳）

ソフトウエア製品の脆弱性 原因別内訳（届出受付開始から 2005 年 9 月末まで）3

3%

1%

1%

1%

1%

1%
24%

3%
5%
8%

8%

13%

9%
10%

図 2-3
3

12%

任意のスクリプトの実行
なりすまし
認証情報の漏洩サービス不能情報の漏洩
アプリケーションの異常終了
任意のファイルへのアクセス
任意のコードの実行
資源の枯渇
証明書の確認不能
設定情報の漏洩セッション・ハイジャック
価格等の改ざん
通信の不正中継
任意のコマンドの実行（77 件の内訳）

ソフトウエア製品の脆弱性 脅威別内訳（届出受付開始から 2005 年 9 月末まで）

それぞれの脆弱性の詳しい説明については付録を参照してください。

4

図 2-1 から、IPA に届出があった脆弱性には、「ウェブブラウザ」「ウェブアプリ構築関係」など、ウェブに関連する製品についての脆弱性が多くあります。図 2-2 から、脆弱性の原因は「ウェブアプリケーションの脆弱性」が最多であり、図 2-3 から、脅威についても「任意のスクリプト実行」が最多となっています。
ウェブアプリケーションの脆弱性以外に、本来実行すべき権限よりも高い権限で処理を実行してしまう「セキュリティコンテキストの適用の不備」、処理の際に利用するファイルのパス名や内容のチェックが十分でないために問題が発生する「ファイルのパス名、内容のチェックの不備」が多くありました。

2.2

ソフトウエア製品の脆弱性情報の調整および公表状況

JPCERT/CC は、表 2-1 に示す 3 種類の脆弱性関連情報について、日本国内の製品開発者当の関係者、および海外 CSIRT4の協力のもと、海外の製品開発者との調整を行っています。これらの脆弱性
関連情報に対する製品開発者の対応状況は、IPA と JPCERT/CC が共同運営している脆弱性対策情報
ポータルサイト JP Vendor status Notes（JVN）において公表しています（URL： http://jvn.jp/）。
表 2-1 脆弱性関連情報の提供元別 脆弱性公表件数
情報提供元

今期

累計

① 国内の発見者から IPA に届出があったもの（1.（1）に記載）

1241② 製品開発者自身から自社製品の脆弱性、対策方法について連絡を受けたもの

2

4③ 海外 CSIRT から連絡を受けたもの

24

81

38

126

計
（1） 国内の発見者および製品開発者から届出があり公表した脆弱性

表 2-2 に脆弱性関連情報の届出（表 2-1 の①）の受理から、脆弱性およびその対応状況を JVN に公表するまでの平均日数（平均公表日数）を示します。今四半期に公表した脆弱性の平均公表日数は 39日、届出受付開始からの全ての公表済み脆弱性の平均公表日数は 74 日となりました。
表 2-2 ソフトウエア製品の脆弱性 平均公表日数
当該期公表分
通算

2004/2Q
49

2004/3Q
43

2004/4Q
101 5

2005/1Q
115 5

2005/2Q
39

49

45

71 5

88 5

74

表 2-3 に、国内の発見者および製品開発者から届出・連絡を受け、2005 年第 3 四半期に公表した脆弱性（表 2-1 の①および②）を示します。
複数の製品開発者のソフトウエア製品に影響がある脆弱性は、≪Internet Explorer コンポーネントを使用するアプリケーションにおけるセキュリティゾーンの扱いに関する脆弱性≫（表 2-3 項番 1）、≪複数のウェブブラウザにおいてリクエスト分割が可能な脆弱性≫（項番 2）、≪「Tomcat」におけるリクエスト処理に関する脆弱性≫（項番 3）の 3 件であり、特定の製品に関する脆弱性は 11 件でした。≪「Common
Management Agent」3.x における情報漏えいの脆弱性≫（項番 7）、≪「WirelessIP5000」における複数の脆弱性≫（項番 14）は、製品開発者自身から脆弱性およびその対策情報の連絡を受けたものです（前述の②）。また、≪「Java Cryptography Extension 1.2.1（JCE 1.2.1）」の証明書の期限切れで
4

CSIRT（Computer Security Incident Response Team）は、コンピュータセキュリティに関するインシデント（事故）への対応や調整、サポートをするチームのことです。
5
海外で開発されている製品のため、調整、修正に長期間を要したものを含みます。

52005/07/28 以降ソフトウエアが正常に動作しなくなる問題≫（項番 15）は、脆弱性ではありませんが多くの製品に影響することが考えられたため、ユーザへの周知を目的として、製品開発者の対応状況を取りまとめ、JVN で公開しました。
表 2-3 2005 年第 3 四半期に JVN で公表した脆弱性
項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN 公表日

複数開発者・
製品に影響がある脆弱性
特定製品の脆弱性

1

Microsoft Internet Explorer では、ウェブコンテンツが置かれているゾーン(インターネット、イントラネットなInternet Explorer コ
ど)ごとにセキュリティ設定を適用し、閲覧の際に、厳しンポーネントを使用
いセキュリティ制限をかけることができます。IE の機能2005 年するアプリケーションを利用する一部の製品は、インターネットゾーンで表
7 月 12 日
におけるセキュリティ
示すべきウェブコンテンツを、インターネットゾーンより
ゾーンの扱いに関すもセキュリティ制限が緩いゾーンで表示する問題がある脆弱性
り、その結果、セキュリティ制限の緩いゾーンで任意のコードが実行される危険性があります。

2

複数のウェブブラウザにおいて、JavaScript で使用で複数のウェブブラウ きる XmlHttpRequest オブジェクトの処理に脆弱性が2005 年
ザにおいてリクエスト 確認されました。本来であれば制限されているドメイン
9 月 29 日
分割が可能な脆弱性 に対し、ユーザが利用している任意のドメインの認証
情報や、Cookie 情報が漏洩する可能性があります。

3

Java Servlet または Java Server Pages のサーバ実「Tomcat」におけるリ 装である Apache Tomcat において、特定の POST リ
2005 年
クエスト処理に関す クエストが適切に処理されない脆弱性が確認されまし
9 月 30 日
る脆弱性
た。別のユーザになりすました処理が行われる可能性があります。

4

ウェブ日記を支援するソフトウエア「tDiary」において、「 tDiary 」 に お け る ク
脆弱性が確認されました。日記を書く人が悪意あるペ2005 年
ロスサイト・リクエス
ージを読み込んだ場合、「tDiary」に意図しない指示を
7 月 21 日
ト・フォージェリの脆送り、日記本文の変更や削除、「tDiary」 の設定変弱性
更、任意のコード実行がされる可能性があります。

5「QRcode Perl CGI QR コード画像を作成するための CGI プログラム& PHP scripts」にお 「QRcode Perl CGI & PHP scripts」において、特定の 2005 年
けるサービス運用妨 リクエストにより、CGI プログラムがサーバ上のリソー 7 月 28 日
スを過剰に消費してしまう問題が確認されました。
害の脆弱性

6

ウェブブラウザ上からウェブコンテンツの発行や編集「 Hiki 」 に お け る ク ロ を行うウェブコンテンツ管理システム「Hiki」において、2005 年
スサイト・スクリプティ クロスサイト・スクリプティングの脆弱性が確認されま
8月4日
ングの脆弱性した。利用者のブラウザ上でスクリプトが実行され、Cookie が盗まれる可能性があります。

7「ePolicy Orchestrator」および「ProtectionPilot」で使「Common
用されている「Common Management Agent」には、2005 年Management
ディレクトリのアクセス権設定に問題があり、ファイル
Agent」3.x における
8 月 24 日
一覧を取得されたり、ファイルを閲覧される可能性が
情報漏えいの脆弱性あります。

8

メールクライアントソフトウェア「Pochy」において、ヘッ「Pochy」におけるダの日付部分に特定の文字列を含むメールを POP3 2005 年
サービス運用妨害
プロトコルで受信した場合に、CPU の負荷が高くな 8 月 25 日
(DoS)の脆弱性
り、受信処理が終了しない問題が確認されました。

6

項番

9

脆弱性

未対策状態でのセキュリティ上の問題点

JVN 公表日

ウェブブラウザ上からウェブコンテンツの発行や編集「FreeStyle Wiki」に を行うウェブコンテンツ管理システム「FreeStyle Wiki」
2005 年
おけるコマンド・イン において、脆弱性が確認されました。Wiki サイトの管8 月 29 日
ジェクションの脆弱性 理者権限を持つユーザにより、CGI の実行権限で任意の Perl コマンドを実行される可能性があります。

ウェブ日記を書くことを支援するソフトウエア「ハイパー「 ハ イ パ ー日 記 シ ス
日記システム(hns)」において、脆弱性が確認されまし2005 年テム」におけるクロス
た。日記を書く人が、悪意あるページを読み込んだ場
10
9月1日
サイト・リクエスト・フ合、「hns」に意図しない指示を送り、日記本文の新規ォージェリの脆弱性作成や変更、削除をしてしまう可能性があります。

11

Unix のシステム管理をウェブブラウザから行うため「 Webmin 」 お よ び のインターフェース「Webmin」および「Usermin」にお2005 年「Usermin」における いて、認証を回避される脆弱性が確認されました。遠
9 月 20 日
認証回避の脆弱性 隔の第三者により、管理者権限で「Webmin」および「Usermin」の機能を悪用される可能性があります。

オブジェクト指向スクリプト言語「Ruby」において、信「 Ruby 」 に お い て セ
頼できないプログラムによるファイルアクセスや OS コ
2005 年
ーフレベル 4 がサン
マンドの実行などを制限するための「セーフレベル」を
12
9 月 21 日
ドボックスとして機能回避できる脆弱性が確認されました。本来制限していしない脆弱性るはずの操作が実行されてしまう可能性があります。
ウェブページの全文検索機能を提供する CGI プログ「Unicode 版
ラム「Unicode 版 msearch」において、クロスサイト・ス
2005 年
msearch」におけるクリプティングの脆弱性が確認されました。利用者の13
9 月 22 日
クロスサイト・スクリプ
ブラウザ上でスクリプトが実行され、Cookie が盗まれティングの脆弱性
る可能性があります。
ワイヤレス IP 電話機「WirelessIP5000」において、複「 WirelessIP5000 」
数の脆弱性が確認されました。遠隔の第三者により、 2005 年
14 における複数の脆弱
不正な情報収集や設定変更などが行われる可能性 9 月 30 日
性があります。

その他

Java Cryptography
サン・マイクロシステムズ社が提供する Java 暗号化
Extension 1.2.1
拡 張 機 能 で あ る Java Cryptography Extension（JCE 1.2.1）の証明
1.2.1（JCE 1.2.1）で、パッケージの署名に使われてい 2005 年
15 書の期限切れでる証明書の有効期限が切れた場合に、JCE の一部 7 月 13 日
2005/07/28 以降ソフの機能が動作しなくなります。そのため、JCE を利用
トウエアが正常に動した製品の動作に不具合が起きる可能性があります。
作しなくなる問題（2）海外 CSIRT から連絡を受け公表した脆弱性
表 2-4 および表 2-5 に、海外 CSIRT から連絡を受けた脆弱性を示します。海外 CSIRT から連絡を受けた脆弱性情報は、登録された国内の製品開発者のうち関連する製品開発者へ通知したうえ、日本語
訳を JVN に掲載しています。2005 年第 3 四半期は、米国 CERT/CC から 24 件、英国 NISCC（National
Infrastructure Security Co-ordination Centre）から 2 件の合計 26 件の脆弱性関連情報の連絡を受けました。

7表 2-4 CERT/CC から連絡を受けた脆弱性関連情報および対応状況
項番

脆 弱 性

対応状況

1

データ圧縮ライブラリ zlib におけるバッファーオーバーフローの脆弱性

2

MIT Kerberos5 Key Distribution Center にヒープオーバフローの脆弱性 複数製品開発者に展開

3

MIT Kerberos5 krb5_recvauth()におけるメモリ二重解放の脆弱性

4

MIT Kerberos5 Key Distribution Center にメモリのヒープ領域が破壊さ
複数製品開発者に展開
れる脆弱性

5

VERITAS Backup Exec Server Service にヒープオーバーフローの脆弱複数製品開発者に展開
性6

VERITAS Backup Exec に遠隔からレジストリにアクセスされる脆弱性

複数製品開発者に展開

7

Microsoft Windows、Internet Explorer および Word における脆弱性

JVN 掲載8

Oracle 製品群に複数の脆弱性

JVN 掲載9

Cisco IOS に IPv6 パケットの処理に関する脆弱性

複数製品開発者に展開

複数製品開発者に展開

単独製品開発者に展開

10 Cisco IOS IPv6 に関する脆弱性

JVN 掲載11 Microsoft Windows と Internet Explorer に関する脆弱性

JVN 掲載12 VERITAS Backup Exec の認証情報に関する脆弱性

JVN 掲載13 EMC Legato NetWorker の認証機構に関する脆弱性

JVN 掲載14

EMC Legato NetWorker の portmapper にリモートからの要求を実行す
る脆弱性

JVN 掲載15 EMC Legato NetWorker の database service の認証機構に脆弱性

JVN 掲載16 Apple 社の Mac 製品に複数の脆弱性

JVN 掲載17

Microsoft DDS Library Shape Control(msdds.dll) COM オブジェクトにおける脆弱性JVN 掲載18

Computer Associates Message Queuing ソフトウェアに複数のバッファ
オーバーフローの脆弱性

JVN 掲載19 pam_ldap に認証回避が可能な脆弱性

複数製品開発者に展開

20 simpleproxy における書式文字列に関する脆弱性

複数製品開発者に展開

21

Cisco IOS Firewall Authentication Proxy にバッファオーバーフローの脆
単独製品開発者に展開
弱性22

Mozilla ベースのブラウザにおける、不正な IDN を含む URI 処理に関するバッファオーバーフロー脆弱性

JVN 掲載23 X server に複数の整数バッファオーバーフローの脆弱性

複数製品開発者に展開

24 mod_ssl にクライアント認証の回避が可能な脆弱性

複数製品開発者に展開

表 2-5 NISCC から連絡を受けた脆弱性関連情報
項番

脆 弱 性

対応状況

1

MindAlign 製品に複数の脆弱性

複数製品開発者に展開

2

HP Ignite-UX に様々な脆弱性

複数製品開発者に展開

8

ウェブアプリケーションの脆弱性関連情報の取扱い

3

届出受付開始から今四半期末までに IPA に届出られたウェブアプリケーションの脆弱性関連情報 379
件のうち、不受理のものを除いた 357 件の種類別内訳を図 3-1 に、脅威別内訳を図 3-2 に示します。
1%

1%

1%

1%

1%

1%
1%

1%
2%

2%

2%
3%

3%
42% (46%)4%
4%

6% (2%)

8% (10%)16% (8%)

図 3-1

クロスサイト・スクリプティング
SQLインジェクション
パス名パラメータの未チェック
DNS情報の設定不備
HTTPレスポンス分割
ファイルの誤った公開
価格等の改ざんセッション管理の不備
ディレクトリ・トラバーサル
アクセス制限の回避
オープンプロキシ
セキュリティ設定の不適切な変更
メールの第三者中継
HTTPSの不適切な利用
クロスサイト・リクエスト・フォージェリ
初期パスワードの不備
SSI インジェクション
不適切なエラー処理
その他（357 件の内訳） （グラフの括弧内は前四半期の数字）

ウェブアプリケーションの脆弱性種類別内訳（届出受付開始から 2005 年 9 月末まで）6

図 3-1 から、脆弱性の種類は、依然として「クロスサイト・スクリプティング」が最多でしたが、「SQL イン
ジェクション」、「DNS 情報の設定不備」が増加しています。
「SQL インジェクション」の届出の多くは、データベースのエラーメッセージが表示されたページを発見したというものです。これまでに取扱いを終了した 23 件のうち、12 件は「SQL インジェクション」の問題が実際にあり修正したとの報告を受け、残りの 11 件はエラーメッセージが表示されていただけで「SQL イン
ジェクション」の問題はなかったとの報告を受けました。
2%

2%

1%

1%

Cookie情報の漏洩
データの改ざん、消去

2%
3%

本物サイト上への偽情報の表示

26% (32%)4%

サーバ内ファイルの漏洩

6% (2%)

個人情報の漏洩
ドメイン情報の挿入
ウェブキャッシュ情報のすり替え

8% (8%)

利用者のセキュリティレベルの低下
踏み台
メールシステムの不正利用
なりすまし

10% (14%)
20% (14%)

サーバ実装情報の漏洩
その他

15% (13%)図 3-2（357 件の内訳） （グラフの括弧内は前四半期の数字）

ウェブアプリケーションの脆弱性脅威別内訳（届出受付開始から 2005 年 9 月末まで）

図 3-2 から、発見者が届出時に想定した脅威別では、「クロスサイト・スクリプティング」により起こりう
る「Cookie 情報の漏洩」が最多であり、「SQL インジェクション」により起こりうる「データの改ざん、消去」、「DNS 情報の設定不備」により起こりうる「ドメイン情報の挿入」が増加しています。
届出受付開始から 2005 年 9 月末までの届出について、修正された脆弱性の種類別件数およびウェ
6

それぞれの脆弱性の詳しい説明については付録を参照してください。

9

ブサイト運営者に脆弱性の詳細情報を通知してから修正されるまでに要した日数を図 3-3 に示します。
全体の 86％の届出が、90 日以内に修正されています。脆弱性情報の届出を受理してから、ウェブサイト運営者に連絡するまでの日数は、平均 2 日以内です。
初期パスワー ドの不備 (1件)
価格等の改ざん (1件)
HTTPSの不適切な利用 (1件)
不適切なエラー 処理 (2件)
クロスサイト・リクエスト・フォー ジェリ (2件)
メールの第三者中継 (3件)
ファイルの誤った公開 (5件)
デ ィレクトリ・トラバー サル (5件)
セキュリティ設定の不適切な変更 (5件)セッション管理の不備 (6件)
DNS情報の設定不備 (7件)
パス名パラメー タの未チェック (8件)
SQLインジェクション (12件)
HTTPレスポンス分割 (12件)
クロスサイト・スクリプティング （107件）

70
60

50
40

30
20

10
0
当日
〜10日

11日
〜20日

21日
〜30日

図 3-3

4

31日
〜60日

61日
〜90日

91日
〜120日

121日
〜150日

151日
〜180日

181日〜

ウェブアプリケーションの脆弱性修正に要した日数

皆様へのお願い
脆弱性の修正を促進していくため、以下のとおり、ご注意ください。

z

ウェブサイト運営者およびシステム構築事業者の皆様へ
ウェブサイトの脆弱性の悪用による被害を回避するためには、ウェブアプリケーション、ウェブア
プリケーションが稼動しているウェブサーバ、ウェブサーバが設置されているネットワーク（ルータやファイアウォール）のセキュリティ対策が必要です。さらに、データベースを利用している場合は、ウェブアプリケーションの脆弱性によりデータベースへアクセスされないように対策しておく必要があります。総合的なセキュリティ対策を採ることを、推奨します。

z

一般インターネットユーザの皆様へ
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がけてください。使用しているブラウザによっては、ウェブサイトを対象によってグループ分けし、セキュリティレベルを設定することができます。セキュリティレベルを低く設定していると、悪意あるウェブサイトを閲覧しただけでプログラム
がインストールされてしまうこともありますので、安易に低い設定にしないよう、注意してください。
■ お問い合わせ先
独立行政法人 情報処理推進機構 セキュリティセンター
Tel: 03-5978-7527

Fax: 03-5978-7518

E-mail: vuln-inq@ipa.go.jp
有限責任中間法人 JPCERTコーディネーションセンター
Tel: 03-3518-4600

Fax: 03-3518-4602

E-mail: office@jpcert.or.jp
10

プレスリリース付録

付表 1 ソフトウエア製品 脆弱性の原因分類
脆弱性の原因アクセス制御の不備

説明

届出において想定された脅威

アクセス制御を行うべき個所において、アクセス制御 設定情報の漏洩が欠如している通信の不正中継
任意のスクリプトの実行
認証情報の漏洩

ウェブアプリケーションの脆 ウェブアプリケーションに対し、入力された情報のチ セッション・ハイジャック
ェックや内容の解釈、認証情報の取扱いに問題があ なりすまし弱性る。「クロスサイト・スクリプティング」攻撃や「SQL イ 任意のコマンドの実行
任意のスクリプトの実行
ンジェクション」攻撃などに利用されてしまう
認証情報の漏洩仕様上の不備RFC 等の公開された規格に準拠して、設計、実装しサービス不能た結果、問題が生じるもの。プロトコル上の不備があ
資源の枯渇る場合、ここに含まれる証明書の検証に関する不 ウェブブラウザやメールクライアントソフトに証明書を検証する機能が実装されていない、または、検証が なりすまし
備
正しく行われずに、偽の証明書を受けいれてしまう
セキュリティコンテキストの 本来、厳しい制限のあるセキュリティコンテキストで 情報の漏洩取り扱うべき処理を、緩い制限のセキュリティコンテ 任意のコードの実行
適用の不備
任意のスクリプトの実行
キストで処理してしまう
バッファのチェックの不備

想定外の長さの入力が行われた場合に、長さをチェ
サービス不能ックせずバッファに入力してしまう。「バッファオーバフ
任意のコードの実行ロー」攻撃に利用されてしまう。

ファイルのパス名、内容の 処理の際のパラメータとして指定されているディレク
トリ名やファイル名、ファイルの内容をチェックしてい アプリケーションの異常終了
チェックの不備ない。任意のディレクトリのファイルを指定できてしま サービス不能い、「ディレクトリ・トラバーサル」攻撃に利用されてし 任意のスクリプトの実行まう。また、破損したファイルや不正に書き換えられ 任意のファイルへのアクセスたファイルを処理した際に不具合が生じる

11プレスリリース付録

付表 2 ウェブアプリケーション脆弱性の分類
脆弱性の種類

深刻度

説明

届出において想定された脅威高一般に公開すべきでないファイルが公開されて サーバ内ファイルの漏洩
おり、自由に閲覧できる状態になっている
個人情報の漏洩高ユーザからの入力を処理する際のパラメータとして指定されているファイル名を、ユーザが変サーバ内ファイルの漏洩
更し、ウェブサーバ上の任意のディレクトリのファイルを指定できてしまう

高ウェブサーバ上のディレクトリのアクセス権を超えて、本来許可されている範囲外のディレクトリ サーバ内ファイルの漏洩にアクセスできるセッション管理の不備

高セッション管理に、推測可能な情報を使用して個人情報の漏洩いるため、他のユーザの情報が容易に推測で権限の無い者によるサーき、他のユーザになりすまして、サービスを利ビス利用用することができる

SQL コマンド・
インジェクション

高入力フォームへ SQL コマンド（データベースへ
サーバ内ファイルの漏洩の命令）を入力し、データベース内の情報の閲
データの改ざん、消去
覧、更新、削除などができる

SSI インジェクション

高

入力フォームなどへ悪意のある SSI コマンドを入力し、ウェブサーバ上での OS コマンドの実 サーバ内ファイルの漏洩
行や、非公開のファイルの表示ができる

DNS 情報の設定不備

高

DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名の持ち主であ ドメイン情報の挿入
るかのようにふるまえてしまう

アクセス制限の回避

中本来設けられているアクセス制御機能による制
利用者のセキュリティレベ
限を回避し、制限により行えないはずの活動がルの低下できてしまう中

外部の第三者により、他のサーバへのアクセスを中継するサーバとして利用され、不正アクセ
踏み台スなどの際にアクセス元を隠すための踏み台にされてしまう中

ユーザの Cookie 情報を知らないうちに転送さ
Cookie 情報の漏洩せたり、偽の情報を表示させたりするような罠
本物サイト上への偽情報のリンクをユーザにクリックさせ、個人情報等をの表示盗むことができる中

ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそかにアクセスさデータの改ざん、消去
せ、登録情報の変更や商品の購入をさせるこ
とができる

中

攻撃者がユーザに対し、悪意のある要求をウェ
ブサーバに送信するように仕向けることで、ウ ウェブキャッシュ情報のすェブサーバからの応答を分割させて応答内容 り替えをすり替え、ユーザに対して偽のページを表示させることができる

ファイルの誤った公開

パス名パラメータの未チェック

ディレクトリ･トラバーサル

オープンプロキシ

クロスサイト･
スクリプティング

クロスサイト・リクエスト・
フォージェリHTTP レスポンス分割

12

プレスリリース付録
脆弱性の種類

深刻度

説明

届出において想定された脅威

セキュリティ設定の不適切な変更

中ユーザに対し、ソフトウエアをインストールさせたり、ブラウザのセキュリティレベルを下げるよ 利用者のセキュリティレベ
う指示することでクライアント PC のセキュリティ ルの低下
設定を低下させる

メールの第三者中継

低他人のメールサーバを用いることで、自分の身第三者への DoS 攻撃
元を隠してメールを送信することができる

低認証に使用するために、管理者が発行したユーザ ID や初期パスワードが、単純であり推測
個人情報の漏洩が容易である、または、パスワードそのものを使用していない

不適切なエラー処理

低表示されるエラーの内容に、一般ユーザには不要な情報が含まれているため、ウェブサイト
サーバ実装情報の開示の実装の詳細や、ファイルやユーザの有無がわかる

価格等の改ざん低ショッピングサイトにおいて、価格情報等が利
データの改ざん
用者側で書き換えられる

HTTPS の不適切な利用

低HTTPS による暗号化をしているが、ユーザへの説明に間違いがある、または、ウェブサイト なりすましの設計上、ユーザから証明書が確認できない

初期パスワードの不備

CGI: Common Gateway Interface

HTTP: HyperText Transfer Protocol

HTTPS : Hypertext Transfer Protocol Security
IDN: Internationalized Domain Name

IPv6

: Internet Protocol Version 6

ISP: Internet Service Provider

SQL: Structured Query Language

SSI: Server Side Include

SSL: Secure Socket Layer

TCP: Transmission Control Protocol

URI: Uniform Resource Identifier

URL: Uniform Resource Locator

VPN: Virtual Private Network13

プレスリリース付録「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み）
ソフトウエア製品の脆弱性

IPA, JPCERT/CC

IPA【受付機関】
受付機関】
報告された
脆弱性関連
情報の
内容の確認

発見者
ウ
ェ
ブ
サ
イ
ト
の
脆
弱
性

脆弱性関連
情報通知 JPCERT

脆弱性関連
情報届出

/CC

製品開発者

脆弱性関連
情報届出

【調整機関】
調整機関】 対応状況の集約，
公表日の決 公表日の
調整等
定，海外の
調整機関と
の連携等

脆弱性関連情報通知

システム導入支援者

対策情報ポータル
（JVN）

対策方法
等公表

ユーザ
政府
企業

セキュリティ
対策推進
協議会 等

個人

個人情報
漏洩時は
ウェブサイト 事実関係を
運営者
公表
検証，対策
実施

①製品開発者及びウェブサイト運営者による脆弱性対策を促進【期待効果】 ②脆弱性関連情報の放置・危険な公表を抑制③個人情報等重要情報の流出や重要システムの停止を予防
出典：脆弱性関連情報取り扱い説明会資料 「ソフトウエア等脆弱性関連情報取扱基準とガイドラインの概要説明」，経済産業省（2004年7月）

14