JPCERT Coordination Center

デジタル署名者 : JPCERT Coordination Center
DN : c=JP, st=Tokyo, l=Chuo-ku, o=JPCERT
Coordination Center, cn=JPCERT Coordination
Center, email=office@jpcert.or.jp
日付 : 2023.01.18 14:05:25 +09'00'

ソフトウェア等の脆弱性関連情報に関する届出状況[2022 年第 4 四半期（10 月～12 月）]
ソフトウェア等の脆弱性関連情報に関する届出状況について
日本における公的な脆弱性関連情報の取扱制度である「情報セキュリティ早期警
戒パートナーシップ（*1）（以降「本制度」）」は、経済産業省の告示（*2）に基づき、2004 年 7 月より運用されています。本制度において、独立行政法人情報処理推進機構（以降「IPA」）と一般社団法人 JPCERT コーディネーションセンター（以降「JPCERT/CC」）は、脆弱性関連情報の届出の受付や脆弱性対策情報の公表に向けた調整などの業務を実施しています。
本報告書では、2022 年 10 月 1 日から 2022 年 12 月 31 日までの、脆弱性関連情報に関する届出状況について記載しています。

独立行政法人情報処理推進機構 セキュリティセンター
一般社団法人 JPCERT コーディネーションセンター
2023 年 1 月 19 日（*1）

情報セキュリティ早期警戒パートナーシップガイドライン
https://www.ipa.go.jp/security/ciadr/partnership_guide.html
https://www.jpcert.or.jp/vh/index.html（*2）
制度発足時は「ソフトウエア等脆弱性関連情報取扱基準（2004 年経済産業省告示第 235 号改め、2014 年
経済産業省告示第 110 号）」の告示に基づいていましたが、現時点では次の告示に基づいています。
・「ソフトウエア製品等の脆弱性関連情報に関する取扱規程」（平成 29 年経済産業省告示第 19 号）
・「受付機関及び調整機関を定める告示」（平成 31 年経済産業省告示第 19 号）

目次
1. ソフトウェア等の脆弱性に関する取扱状況（概要）.................................. 1
1-1. 脆弱性関連情報の届出状況 .................................................................................................. 1
1-2. 脆弱性の修正完了状況.......................................................................................................... 2
1-3. 連絡不能案件の取扱状況 ...................................................................................................... 3
2. ソフトウェア等の脆弱性に関する取扱状況（詳細）.................................. 4
2-1. ソフトウェア製品の脆弱性 .................................................................................................. 4
2-1-1. 処理状況......................................................................................................................... 4
2-1-2. ソフトウェア製品の種類別届出件数 ............................................................................. 5
2-1-3. 脆弱性の原因・影響別届出件数 .................................................................................... 6
2-1-4. JVN 公表状況別件数 ...................................................................................................... 7
2-1-5. 調整および公表レポート数 ........................................................................................... 8
2-1-6. 優先情報提供の実施状況 ............................................................................................. 13
2-1-7. 連絡不能案件の処理状況 ............................................................................................. 14
2-2. ウェブサイトの脆弱性........................................................................................................ 15
2-2-1. 処理状況....................................................................................................................... 15
2-2-2. 運営主体の種類別届出件数 ......................................................................................... 16
2-2-3. 脆弱性の種類・影響別届出件数 .................................................................................. 16
2-2-4. 修正完了状況 ............................................................................................................... 17
2-2-5. 長期化している届出の取扱経過日数 ........................................................................... 19
3. 関係者への要望 ................................................................ 20
3-1. 製品開発者 .......................................................................................................................... 20
3-2. ウェブサイト運営者 ........................................................................................................... 20
3-3. 一般のインターネットユーザー ......................................................................................... 20
3-4. 発見者 ................................................................................................................................. 21
付表 1. ソフトウェア製品の脆弱性の原因分類 ........................................ 22
付表 2. ウェブサイトの脆弱性の分類 ................................................ 23
付図 1．
「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報の取扱制度） ..... 24

1. ソフトウェア等の脆弱性に関する取扱状況（概要）1-1. 脆弱性関連情報の届出状況～ 脆弱性の届出件数の累計は 17,845 件 ～表 1-1 は本制度における本四半期の脆弱性関表 1-1. 届出件数

連情報の届出件数、および届出受付開始（2004分類

年 7 月 8 日）から本四半期末までの累計を示しています。本四半期のソフトウェア製品に関す

本四半期件数累計

ソフトウェア製品

78 件

5,357 件

ウェブサイト

83 件

12,488 件

161 件

17,845 件

る届出件数は 78 件、ウェブアプリケーション

合計（以降「ウェブサイト」）に関する届出は 83

件、合計 161 件でした。届出受付開始からの累計は 17,845 件で、内訳はソフトウェア製品に関するもの 5,357 件、ウェブサイトに関するもの 12,488 件でウェブサイトに関する届出が全体の約 7 割を占めています。
図 1-1 は過去 3 年間の届出件数の四半期ごとの推移を示したものです。本四半期は、ソフトウ
ェア製品よりもウェブサイトに関して多くの届出がありました。表 1-2 は過去 3 年間の四半期ごとの届出の累計および 1 就業日あたりの届出件数の推移です。本四半期末までの 1 就業日あたりの届出件数は 3.97 件（*3）でした。

700件

ソフトウェア製品
ウェブサイト
累計件数
ソフトウェア製品（累計）
ウェブサイト（累計）14,000件
11,525 11,705 11,928 12,039 12,124 12,222 12,311 12,405 12,488
11,29512,000件
10,971 11,107

600件

10,000件

四半期件数
800件

500件
400件
300件

8,000件4,517 4,569 4,627 4,699 4,770

5,357
4,850 4,943 5,006 5,081 5,158 5,279

6,000件
4,000件

200件
100件

0件

61 200 52 136 58

1Q
2020

2Q

188

3Q

72 230 71 180 80 223 93 111 63 85 75 98 77 89 121 94 78 83

4Q

1Q
2021

2Q

3Q

4Q

1Q
2022

2Q

3Q

4Q

2,000件

0件

図1-1．脆弱性の届出件数の四半期ごとの推移

表 1-2．届出件数（過去 3 年間）
2020
1Q
累計届出件数[件]
１就業日あたり[件/日]

（*3）

2Q

3Q

4Q

2021
1Q

2Q

3Q

4Q

2022
1Q

2Q

3Q

4Q

15,488 15,676 15,922 16,224 16,475 16,778 16,982 17,130 17,303 17,469 17,684 17,845
4.2
4.04

4.21
4.03

4.21
4.03

4.21
4.04

4.21
4.04

4.21
4.06

4.21
4.05

4.21
4.02

4.21
4.01

4.21
3.99

1 就業日あたりの届出件数は、「累計届出件数」/「届出受付開始からの就業日数」にて算出。

1

4.21
3.98

4.21
3.97

また、図 1-2 は、届出受付開始から 2022 年 12 月末までの届出件数の年ごとの推移です。過去、最も届出が多かった年は、「クロスサイト・スクリプティング」と「DNS 情報の設定不備」に関して多くの届出がなされた 2008 年（2,622 件）でした。2022 年はソフトウェア製品が 351 件、ウェブサイ
トが 364 件の合計 715 件でした。ウェブサイトがソフトウェア製品の届出件数を上回り全体の 51％を占めています。また昨年と比べて、ソフトウェア製品の届出は増加し、ウェブサイトの届出は減少しま
した。
年間
届出件数

3,000件2,500件
2,000件1,500件
1,000件
500件
0件

ソフトウェア製品

ウェブサイト

累計
届出件数

累計

17,845 20,000件
17,13018,000件
15,227
16,000件
13,526
16,224
11,507
14,000件
10,652
14,09012,000件
12,922
9,325
8,170
10,000件
370
6,4827,314
8,000件
4,375
1,753
6,000件
1,182
142
413
238
5,975
4,000件599 364
173 579 315 374 2,391 1,446
884
754
905
1,118
671
379 691
140 2942,000件
288 197 231 154 128 141 185 271 209 442 1,045 462 326 232 243 307 351
0件
33 112

図1-2．脆弱性の届出件数の年ごとの推移

1-2. 脆弱性の修正完了状況～ ソフトウェア製品およびウェブサイトの修正件数は累計 10,907 件 ～表 1-3 は本四半期、および届出受付開始から

表 1-3. 修正完了（JVN 公表）

本四半期末までのソフトウェア製品とウェブサ

分類

イトの修正完了件数を示しています。ソフトウ
ェア製品の場合、修正が完了すると（回避方法の策定のみでプログラムを修正しない場合を含

本四半期件数ソフトウェア製品

39 件

2,488 件

ウェブサイト74 件

8,419 件

113 件

10,907 件

合計

む）、脆弱性情報や対策方法などを JVN に公表

累計

しています。
本四半期に JVN 公表したソフトウェア製品の件数は 39 件（*4）（累計 2,488 件）でした。そのうち、4 件は製品開発者による自社製品の脆弱性の届出でした。なお、届出を受理してから JVN
公表までの日数が 45 日以内のものは 7 件（18%）でした。また、JVN 公表前に重要インフラ事
業者等へ脆弱性対策情報を優先提供したのは、4 件（累計 62 件）でした（*5）。
修正完了したウェブサイトの件数は 74 件（累計 8,419 件）でした。修正を完了した 74 件のうち、ウェブアプリケーションを修正したものは 70 件（95%）、当該ページを削除したものは 4
件（5%）で、運用で回避したものは 0 件（0%）でした。なお、修正を完了した 74 件のうち、ウェブサイト運営者へ脆弱性関連情報を通知してから 90 日（*6）以内に修正が完了したものは 67件（91%）でした。
また、図 1-3 は、届出開始から 2022 年 12 月末までの修正完了件数の年ごとの推移を示しています。過去、修正を完了した件数が最も多かった年は 2009 年の 1,401 件でした。2022 年
は、ソフトウェア製品が 136 件、ウェブサイトが 217 件の合計 353 件でした。

（*4）

P.8 2-1-5 参照
P.13 2-1-6 参照（*6）
対処の目安は、ウェブサイト運営者が脆弱性の通知を受けてから、3 ヶ月以内としています。
（*5）

2

年間修正
完了件数

1,400件
1,200件
1,000件
800件
600件
400件
200件
0件

ソフトウェア製品

ウェブサイト

累計

累計完了件数

10,907 12,000件
10,5549,760
10,000件
8,809
10,161
7,712
9,282
8,000件
6,127
8,261
6,000件
6,900
4,435
3,055
5,241
4,000件
627 989 1,654
226
335
3,808
241
314
78
208
2,000件
624
67

11

217
694 759 633
209 209 262 586 1,322
380 268687 513
83 100 79 79 66 114 112 127 140 188 235 322 232 98 133 185 136480件

図1-3. 脆弱性の修正完了件数の年ごとの推移

1-3. 連絡不能案件の取扱状況
本制度では、調整機関から連絡が取れない製品開発者を「連絡不能開発者」と呼び、連絡の糸口を得るため、当該製品開発者名等を公表して情報提供を求めています（*7）。製品開発者名を公表
後、3 ヶ月経過しても製品開発者から応答が得られない場合は、製品情報（対象製品の具体的な名
称およびバージョン）を公表します。それでも応答が得られない場合は、情報提供の期限を追記します。情報提供の期限までに製品開発者から応答がない場合は、当該脆弱性情報の公表に向け、「情報セキュリティ早期警戒パートナーシップガイドライン」に定められた条件を満たしているかを公表判定委員会（*8）で判定します。その判定を踏まえ、IPA が公表すると判定した脆弱性情報
は JVN に公表されます。
本四半期は、連絡不能開発者として新たに製品開発者名を公表したものはありませんでした。
本四半期末時点の連絡不能開発者の累計公表件数は 251 件になります。

（*7）
（*8）

連絡不能開発者一覧：https://jvn.jp/reply/index.html
連絡不能案件の脆弱性情報を公表するか否かを判定するために IPA が組織します。法律、サイバーセキュ
リティ、当該ソフトウェア製品分野の専門的な知識や経験を有する専門家、かつ、当該案件と利害関係のない者で構成されています。

3

2. ソフトウェア等の脆弱性に関する取扱状況（詳細）2-1. ソフトウェア製品の脆弱性
2-1-1. 処理状況
図 2-1 はソフトウェア製品の脆弱性届出の処理状況について、四半期ごとの推移を示しています。本四半期末時点の届出の累計は 5,357 件で、本四半期に脆弱性対策情報を JVN 公表したもの
は 39 件（累計 2,488 件）でした。そのうち、JVN 公表前に重要インフラ事業者等へ脆弱性対策情報を優先提供したものは 4 件（累計 62 件）でした。製品開発者が JVN 公表を行わず「個別対応」
したものは 0 件（累計 40 件）、製品開発者が「脆弱性ではない」と判断したものは 0 件（累計 108件）でした。また「不受理」としたものは 7 件（*9）（累計 521 件）、「取扱い中」は 2,200 件でした。2,200 件のうち、連絡不能開発者（*10）一覧へ新規に公表したものはありませんでした。本四
半期末時点で 199 件（*11）を連絡不能開発者一覧へ公表しています。

2,995
2,352[52%]

2021年
12月末

2,011

40104 499

調整不能 30

連絡不能開発者 169

合計 5,006

3,038
2,390 [52%]

2022年
3月末

2,043

40 104 504

調整不能 30

合計 5,081

連絡不能開発者 169

3,070
2,417 [52%]

2022年
6月末

3,111
2,449 [51%]

2022年
9月末

2,088

40 107 506

調整不能 30

2,168

40 108 514

調整不能 30

合計 5,158

連絡不能開発者 169

合計 5,279

連絡不能開発者 169

取扱い終了 3,157 (46)

2022年
12月末

108不受理(0) 521(7)公表済み 2,488 (39) [51%]
調整不能 30(0)

0

500

1,000

1,500

個別対応 40(0)2,000

取扱い中 2,200

脆弱性ではない

2,500

3,000

合計 5,357

連絡不能開発者 169(0)

3,500

4,000

4,500

5,000

5,500

（ ）内の数値は今四半期に処理を終了もしくは連絡不能開発者となった件数［ ］内の数値は受理した届出のうち公表した割合

公表済み
調整不能

：JVN で脆弱性への対応状況を公表したもの：公表判定委員会による判定にて、JVN で公表することが適当と判定さ
れたもの

取扱い終了
個別対応

：JVN 公表を行わず、製品開発者が個別対応したもの

脆弱性ではない：製品開発者により脆弱性ではないと判断されたもの

不受理：告示で定める届出の対象に該当しないもの

取扱い中：IPA、JPCERT/CC が内容確認中、製品開発者が調査、対応中のもの

連絡不能開発者：取扱い中のうち、連絡不能開発者一覧にて公表中のもの

図 2-1. ソフトウェア製品脆弱性の届出処理状況（四半期ごとの推移）（*9）

内訳は本四半期の届出によるものが 1 件、前四半期以前の届出によるものが 6 件。
連絡不能開発者一覧への公表および一覧からの削除が複数回行われた製品開発者の公表回数は、その累計を計上しています。
（*11）
連絡不能開発者一覧に公表中の件数は、図 2-1 の「調整不能」及び「連絡不能開発者」の合計です。
（*10）

4

届出受付開始から本四半期末までに届出のあったソフトウェア製品の脆弱性 5,357 件のうち、不受理を除いた件数は 4,836 件でした。以降、不受理を除いた届出について集計した結果を記載します。
2-1-2. ソフトウェア製品の種類別届出件数
図 2-2、2-3 は、届出された脆弱性の製品種類別の内訳です。図 2-2 は製品種類別割合を、図 23 には過去 2 年間の四半期ごとの製品種類別届出件数の推移を示しています。
本四半期の届出件数において「ウェブアプリケーションソフト（22 件）」が最も多く、次いで「スマートフォン向けアプリ（12 件）」となっています。
累計では、「ウェブアプリケーションソフト」が最も多く 42%を占めています。
ソフトウェア製品の製品種類別の届出状況

140件

ウェブアプリケーションソフト

120件

ルータ
スマートフォン向けアプリ

42%
(43%)

19%

100件

グループウェア
アプリケーション開発・実行環境

情報家電
ウェブブラウザ
ファイル管理ソフト
システム管理ソフト

77

2%
2%
2%
3%
4%
4%

60件
40件

12

20件

22

5%

OS

80件

9%
(9%)

8%
(8%)

その他

※その他には、データベース、携帯機器などがあります。
(4,836件の内訳、グラフの括弧内は前四半期までの数字)

0件
1Q 2Q
2021

3Q

4Q

1Q 2Q
2022

3Q

4Q

(過去2年間の届出内訳)

図2-3．四半期ごとの製品種類別届出件数

図2-2．届出累計の製品種類別割合

図 2-4、2-5 は、届出された製品をライセンスの形態により「オープンソースソフトウェア」（OSS）と「それ以外」で分類しています。図 2-4 は届出累計の分類割合を、図 2-5 には過去 2
年間の四半期ごとの分類別届出件数の推移を示しています。
本四半期において「オープンソースソフトウェア」の届出は 29 件あり、累計では 40%を占めています。
オープンソースソフトウェアの脆弱性の届出状況

140件

オープンソースソフトウェア

120件

それ以外
25

43
23 28

40%
(40%)

60%
(60%)

100件

77

80件

29

60件

16
27
23

40件

44 49 50 36 48 59 94 48

20件
0件

1Q 2Q
2021

3Q

4Q

1Q 2Q
2022

3Q

4Q

(過去2年間の届出内訳)（4,836件の内訳、グラフの括弧内は前四半期までの数字）

図2-4．届出累計のオープンソースソフトウェア割合

図2-5．四半期ごとのオープンソースソフトウェア
届出件数(四半期別推移)5

2-1-3. 脆弱性の原因・影響別届出件数
図 2-6、2-7 は、届出された脆弱性の原因別の内訳です。図 2-6 は届出累計の脆弱性の原因別割合を、図 2-7 には過去 2 年間の四半期ごとの原因別届出件数の推移を示しています（*12）。
本四半期は「その他実装上の不備（40 件）」が最も多く、次いで「ウェブアプリケーションの脆弱性（24 件）」となっています。累計では、「ウェブアプリケーションの脆弱性」が 54％を占めています。

ソフトウェア製品の脆弱性の原因別の届出状況
140件

ウェブアプリケーションの脆弱性
ファイルのパス名、内容のチェックの不備

120件

アクセス制御の不備証明書の検証に関する不備100件

バッファのチェックの不備

1%

仕様上の不備

77

54%
(55%)

その他実装上の不備 （※）
その他ウェブに関連する不備※その他実装上の不備には、
コードインジェクションや認証不備などがあります。

80件
60件

40
28%

40件
20件

2%
3%
3%
4%
(4%) 5%
(5%)

24
1Q 2Q
2021

3Q

4Q

(4,836件の内訳、グラフの括弧内は前四半期までの数字)

1Q 2Q
2022

3Q

0件

4Q

(過去2年間の届出内訳)

図2-6．届出累計の脆弱性の原因別割合

図2-7．四半期ごとの脆弱性の原因別届出件数

図 2-8、2-9 は、届出された脆弱性がもたらす影響別の内訳です。図 2-8 は届出累計の影響別
割合を、図 2-9 には過去 2 年間の四半期ごとの影響別届出件数の推移を示しています。
本四半期は、「情報の漏洩（21 件）」が最も多く、次いで「任意のスクリプトの実行（18 件）」でした。累計では「任意のスクリプトの実行」が最も多く、34%を占めています。

ソフトウェア製品の脆弱性がもたらす影響別の届出状況
140件
120件
任意のスクリプトの実行
任意のコマンドの実行

情報の漏洩
なりすまし
任意のコードの実行
アクセス制限の回避
サービス不能任意のファイルへのアクセス
データベースの不正操作

その他

11%

100件

34%
(34%)

3%
4%

77

80件
60件

4%
5%

21

8%

18
8%

40件
20件
0件

11%
(10%)

12%
(12%)

(4,836件の内訳、グラフの括弧内は前四半期までの数字)

図2-8．届出累計の脆弱性がもたらす影響別割合

1Q 2Q
2021

3Q

4Q

1Q 2Q
2022

3Q

4Q

(過去2年間の届出内訳)

図2-9．四半期ごとの脆弱性がもたらす影響別
届出件数(四半期別推移)（*12）

それぞれの脆弱性の詳しい説明については付表 1 を参照してください。

6

2-1-4. JVN 公表状況別件数
図 2-10 は、届出受付開始から本四半期末までに対策情報を JVN 公表した脆弱性（2,488 件）について、受理してから JVN 公表するまでに要した日数を示したものです。45 日以内は 29%、45
日を超過した件数は 71%でした。表 2-1 は過去 3 年間において 45 日以内に JVN 公表した件数の割合推移を四半期ごとに示したものです。製品開発者は脆弱性が悪用された場合の影響を認識し、迅速な対策を講じる必要があります。
29% (45日以内の公表)

全体（2,488件)

198件 149件 177件 196件
0～
10日

0%

11～
20日

10%

21～
30日

31～45日

20%

30%

563件

359件

208件

638件

46～100日

101～200日

201～
300日

301日～

60%

70%

40%

50%

80%

90%

図2-10．ソフトウェア製品の脆弱性公表日数表 2-1．45 日以内に JVN 公表した件数の割合推移（四半期ごと）
2020
1Q

2Q

3Q

4Q

2021
1Q

2Q

3Q

4Q

2022
1Q

2Q

3Q

4Q

29%

29%

29%

29%

29%

29%

29%

29%

29%

29%

29%

29%

7

100%

2-1-5. 調整および公表レポート数
JPCERT/CC は、本制度に届け出られた脆弱性情報のほか、海外の製品開発者や CSIRT などか
らも脆弱性情報の提供を受けて、国内外の関係者と脆弱性対策情報の公表に向けた調整を行っています（*13）。これらの脆弱性に対する製品開発者の取扱状況は、IPA と JPCERT/CC が共同運営している脆弱性対策情報ポータルサイト JVN（Japan Vulnerability Notes）（URL：https://jvn.jp/ ）に公表しています。表 2-2、図 2-11 は、公表件数を情報提供元別に集計し、本四半期の公表件数、
過去 3 年分の四半期ごとの公表件数（*14）の推移等を示したものです。
「海外 CSIRT 等から脆弱性情報の提供を受け JVN で公表した脆弱性レポート」が 2020 年第 2四半期から増加していますが、これは 2020 年第 2 四半期から米国国土安全保障省傘下の CISAICS が公開する ICSA（制御系製品に関する脆弱性情報）および ICSMA（医療機器に関する脆弱性情報）を JVN において注意喚起として公開することになったためです。
表 2-2．脆弱性の提供元別 脆弱性公表レポート件数

本四半期
件数

情報提供元
国内外の発見者からの届出、製品開発者から自社製品の届出を受け JVN で公表した脆弱性レポート
海外 CSIRT 等から脆弱性情報の提供を受け JVN で公表した脆弱性レポート
合計
四半期件数

160件
140件
120件
100件
80件
60件
40件
20件
0件

国内外の発見者からの届出
国内外の発見者からの届出(累計)

海外のCSIRTからの連絡
海外のCSIRTからの連絡（累計）累計

27 件 2,057 件
84 件 2,633 件
111 件 4,690 件
累計件数

2,633 2,800件
2,600件2,400件2,148
2,063
2,200件
1,919 1,988
1,844
1,771
2,057 2,000件
2,030
2,005
1,800件
1,934 1,956 1,981
1,600件1,779 1,798 1,820 1,840 1,875 1,907
1,400件
1,200件
1,000件
800件
600件
400件
27
73 22 92 25 58 24 97 25 81 27 84 200件
30 30 19 73 22 75 20 69 35 75 32 85
0件
1Q
2Q
3Q
4Q
1Q
2Q
3Q
4Q
1Q
2Q
3Q
4Q
2020
2021
2022
2,371
2,221 2,313

2,468 2,549

図2-11．ソフトウェア製品の脆弱性対策情報の公表件数（*13）

JPCERT/CC 活動四半期レポート [2022 年 10 月 1 日～2022 年 12 月 31 日] Page17～24（https://www.jpcert.or.jp/pr/）を参照下さい。
（*14）
2-1-5 は公表したレポートの件数をもとに件数を計上しています。複数の届出についてまとめ 1 件のレポートを公表する場合がある為、届出の JVN 公表件数と JVN 公表レポート数は異なる件数となります。

8

（1）

国内外の発見者からの届出、製品開発者から自社製品の届出を受け JVN で公表した脆弱性レポート
表 2-3 は国内の発見者および製品開発者から受けた届出について、本四半期に JVN 公表した
脆弱性を深刻度のレベル別に示しています。オープンソースソフトウェアに関する脆弱性が 12
件（表 2-3 の#1）、製品開発者自身から届けられた自社製品の脆弱性が 4 件（表 2-3 の#2）、
複数開発者・製品に影響がある脆弱性が 2 件（表 2-3 の#3）、組み込みソフトウェア製品の脆
弱性が 5 件（表 2-3 の#4）ありました。
表 2-3．2022 年第 4 四半期に JVN で公表した脆弱性公表レポート
項番

脆弱性識別番号

脆弱性

JVN

CVSS

公表日

基本値

脆弱性の深刻度=レベル III（危険）、CVSS 基本値=7.0～10.0

1(#1)

JVN#56968681

2
JVN#54728399(#1)(#2)(#3)

日本語プログラミング言語「なでしこ 3」における複数 2022 年 10の脆弱性
月 20 日7.5「TERASOLUNA Global Framework」および「TERASOLUNA Server Framework for Java (Rich 版)」において ClassLoader を操作可能な脆弱性

2022 年 11
月 14 日7.5

脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.0～6.9

3(#1)

JVN#00845253「GROWI」におけるアクセス制限不備の脆弱性

2022 年 10
月7日

4.0

4

JVN#40620121

Sony「Content Transfer」のインストーラにおける DLL 2022 年 10
読み込みの脆弱性
月 11 日

6.8

5
(#2)

JVN#74592196「bingo!CMS」における認証回避の脆弱性

2022 年 10
月 11 日5.0

6

JVN#10921428

スマートフォンアプリ「Lemon8 (レモンエイト)」におけるアクセス制限不備の脆弱性

2022 年 10
月 19 日

4.3

7
(#1)

JVN#86350682「SHIRASAGI」における複数の脆弱性

2022 年 10月 25 日

4.3

8
(#4)

JVN#46345126

京セラドキュメントソリューションズ製の複合機および 2022 年 11
プリンターの Web インタフェースにおける複数の脆弱 月 1 日
性

5.8

9
(#1)

JVN#09409909「WordPress」における複数の脆弱性

2022 年 11
月8日

5.0

10

JVN#37014768「Movable Type」における複数の脆弱性

2022 年 11
月 16 日

4.6

11
(#1)

JVN#13927745

WordPress 用プラグイン「WordPress Popular Posts」
における外部入力の不適切な使用に関する脆弱性

2022 年 11
月 18 日5.0

12

JVN#26044739「Typora」における JavaScript コードの無効化処理が不十分な問題2022 年 11
月 21 日

4.3

13
(#2)

JVN#87895771「サイボウズ リモートサービス」におけるリソース枯
渇に至る脆弱性

2022 年 11月 25 日4.0

14

JVN#96321933「電子入札コアシステム」における複数の脆弱性

2022 年 12月 15 日

4.3

15
(#3)

JVN#13075438

コーレル製「Roxio SAIB サービス」によって登録される Windows サービスの実行ファイルパスが引用符で囲まれていない脆弱性

2022 年 12月 19 日

6.8

9

脆弱性

JVN

CVSS

公表日

基本値

項番

脆弱性識別番号16

JVN#43561812

スマートフォンアプリ「＋メッセージ（プラスメッセー 2022 年 12ジ）」における Unicode 制御文字の扱いに関する脆弱性 月 21 日

4.3

17
(#1)

JVN#29902403「Squirrel.Windows」で生成したインストーラにおける 2022 年 12
DLL 読み込みに関する脆弱性
月 21 日6.8

脆弱性の深刻度=レベル I（注意）、CVSS 基本値=0.0～3.9

18
(#1)

JVN#15411362「IPFire」の WebUI におけるクロスサイト・スクリプ
ティングの脆弱性

2022 年 10
月6日

3.5

19

JVN#74534998

Android アプリ「IIJ SmartKey」における情報漏えいの脆弱性

2022 年 10月 14 日

2.6

20
(#4)

JVN#74285622

富士ソフト製ネットワーク製品における複数の脆弱性

2022 年 10月 28 日

3.2

21
(#1)

JVN#59663854

WordPress 用プラグイン「Salon booking system」にお 2022 年 11
けるクロスサイト・スクリプティングの脆弱性
月8日

2.6

22
JVN#75437943(#2)(#4)

アイホン製インターホンシステムにおける情報漏えいの 2022 年 11
脆弱性
月 10 日

2.9

23
(#4)

JVN#24659622

RICOH「IPSiO SP 4210」におけるクロスサイト・スク 2022 年 11
リプティングの脆弱性
月 16 日

3.5

24
(#4)

JVN#29657972「TP-Link RE300 V1」の tdpServer における入力デー
タの不適切な処理に関する脆弱性

2022 年 11月 24 日

3.3

25
(#1)

JVN#53682526「baserCMS」における複数のクロスサイト・スクリプ 2022 年 11
ティングの脆弱性
月 25 日

3.5

26
(#1)

JVN#60211811「Redmine」におけるクロスサイト・スクリプティング 2022 年 12の脆弱性
月 13 日

2.6

27
(#1)

JVN#06093462「Zenphoto」におけるクロスサイト・スクリプティン
グの脆弱性

2022 年 12月 19 日3.5（2）

海外 CSIRT 等から脆弱性情報の提供を受け JVN で公表した脆弱性レポート

表 2-4 は、本四半期に JPCERT/CC が海外 CSIRT 等と連携して取り扱った脆弱性の公表ないし対応の状況を示しており、本四半期は 84 件を公表しました。
Android 関連製品や OSS を組み込んだ製品の脆弱性に関する調整活動では、製品開発者が所在するアジア圏の調整機関、特に韓国の KrCERT/CC や中国の CNCERT/CC、台湾のTWNCERT との連携が近年増えています。これらの情報は、JPCERT/CC 製品開発者リスト（*15）に登録された製品開発者へ通知したうえ、JVN に掲載しています。
表 2-4．海外 CSIRT 等と連携した脆弱性および注意喚起情報に対する対応状況

項番

脆弱性

対応状況

1

Hitachi Energy 製 MicroSCADA Pro/X SYS600 における複数の脆弱性

注意喚起として掲載

2

バッファロー製ネットワーク機器における複数の脆弱性

製品開発者へ通知・調整

3

Microsoft Exchange Server に複数の脆弱性

注意喚起として掲載

4

Hitachi Energy 製 Modular Switchgear Monitoring（MSM）における複数 注意喚起として掲載
の脆弱性

（*15）

JPCERT/CC 製品開発者リスト：https://jvn.jp/nav/index.html

10

項番

脆弱性

対応状況

5

Johnson Controls 製 Metasys ADX における不適切な認証の脆弱性

6

BD 製 BD トータリス マルチプロセッサーにおけるハードコードされ 注意喚起として掲載
た認証情報の使用の脆弱性

7

オムロン製 CX-Programmer における複数の境界外書き込みの脆弱性

製品開発者へ通知・調整

8

Horner Automation 製 Cscape における複数の脆弱性

注意喚起として掲載

9

ISC DHCP における複数の脆弱性

製品開発者へ通知

10

VLAN 対応ネットワーク機器において、L2 保護機構がバイパスされる 製品開発者へ通知・調整問題

11

HIWIN 製 HIWIN Robot System Software (HRSS)における不適切なア 注意喚起として掲載
クセス制御の脆弱性

12

Rockwell Automation 製 FactoryTalk VantagePoint における複数の脆弱 注意喚起として掲載
性13

トレンドマイクロ製 Deep Security および Cloud One - Workload Secu- 製品開発者へ通知・調整
rity の Windows 版 Agent における複数の脆弱性

14

Heimdal の Kerberos 実装に NULL ポインタ参照の脆弱性

製品開発者へ通知・調整

15

SVMPC1 および SVMPC2 における複数の脆弱性

製品開発者へ通知・調整

16

Sensormatic Electronics 製 C•CURE 9000 における情報漏えいの脆弱 注意喚起として掲載
性17

Siemens 製品に対するアップデート（2022 年 10 月）

18

OpenSSL の NID_undef を使用したカスタム暗号における NULL 暗号 製品開発者へ通知
化の脆弱性

19

Altair 製 HyperView Player における複数の脆弱性

20

Hitachi Energy 製 Lumada Asset Performance Management (APM) に 注意喚起として掲載
おける複数の脆弱性

21

横河計測製 WTViewerE におけるバッファオーバーフローの脆弱性

22

Trend Micro Apex One および Trend Micro Apex One SaaS における複 製品開発者へ通知・調整
数の脆弱性

23

Advantech 製 R-SeeNet における複数の脆弱性

注意喚起として掲載

24

Bentley Systems 製 MicroStation Connect における複数の脆弱性

注意喚起として掲載

25

複数の Delta Electronics 製品における複数の脆弱性

注意喚起として掲載

26

CKS 製 CEVAS におけるクロスサイトスクリプティングの脆弱性

注意喚起として掲載

27

Hitachi Energy 製 DMS600 における脆弱な OSS コンポーネントへの依 注意喚起として掲載
存の問題

28

AliveCor 製 KardiaMobile における複数の脆弱性

注意喚起として掲載

29

HEIDENHAIN 製 TNC 640 における不適切な認証の脆弱性

注意喚起として掲載

30

Haas Automation 製 Haas Controller における複数の脆弱性

注意喚起として掲載

31

Trihedral 製 VTScada における不適切な入力確認の脆弱性

注意喚起として掲載

32

SAUTER 製 moduWeb におけるクロスサイトスクリプティングの脆弱 注意喚起として掲載
性33

複数の Rockwell Automation 製品における複数の脆弱性

34

Apache Tomcat における無効な HTTP ヘッダの取り扱いに関する問題 製品開発者へ通知

35

OpenSSL に複数の脆弱性

製品開発者へ通知

36

Delta Electronics 製 DIALink におけるパストラバーサルの脆弱性

注意喚起として掲載

37

Nokia 製 ASIK AirScale における複数の脆弱性

注意喚起として掲載

38

ETIC Telecom 製 Remote Access Server (RAS)における複数の脆弱性

注意喚起として掲載

39

Siemens 製品に対するアップデート（2022 年 11 月）

注意喚起として掲載

11

注意喚起として掲載

注意喚起として掲載

注意喚起として掲載

製品開発者へ通知・調整

注意喚起として掲載

項番

脆弱性

対応状況

40

Intel 製品に複数の脆弱性（2022 年 11 月）

注意喚起として掲載

41

複数の UEFI 実装における競合状態に関する脆弱性

製品開発者へ通知・調整

42

日立国際電気製監視システムネットワーク製品（カメラ、エンコーダ、 製品開発者へ通知・調整デコーダ）における複数の脆弱性

43

複数の三菱電機製家電製品の Wi-Fi 接続処理におけるデッドロックの 製品開発者へ通知・調整
脆弱性

44

Netatalk に複数の脆弱性

45

Trend Micro Apex One および Trend Micro Apex One SaaS における複 製品開発者へ通知・調整
数の脆弱性

46

Red Lion Controls 製 Crimson におけるパストラバーサルの脆弱性

注意喚起として掲載

47

Cradlepoint 製 IBR600 におけるコマンドインジェクションの脆弱性

注意喚起として掲載

48

三菱電機製 FA エンジニアリングソフトウェア製品における複数の脆弱 製品開発者へ通知・調整
性49

三菱電機製 GOT2000 シリーズの FTP サーバ機能における不適切な入 製品開発者へ通知・調整
力確認の脆弱性50

Moxa 製 ARM-Based Computers における不適切な権限管理の脆弱性

注意喚起として掲載

51

GE Digital 製 CIMPLICITY における複数の脆弱性

注意喚起として掲載

52

Phoenix Contact 製 Automation Worx Software Suite における複数の脆 注意喚起として掲載
弱性53

Digital Alert Systems 製 DASDEC におけるクロスサイトスクリプティ 注意喚起として掲載
ングの脆弱性54

AVEVA 製 AVEVA Edge における複数の脆弱性

注意喚起として掲載

55

オムロン製 CX-Programmer における複数の脆弱性

製品開発者へ通知・調整

56

三菱電機製 MELSEC iQ-R シリーズ Ethernet インタフェースユニット 製品開発者へ通知・調整
における不適切な入力確認の脆弱性

57

Moxa 製 UC シリーズにおける不適切な物理アクセス制御の脆弱性

注意喚起として掲載

58

複数の Hitachi Energy 製品における複数の脆弱性

注意喚起として掲載

59

ユニモテクノロジー製デジタルビデオレコーダにおける複数の脆弱性

製品開発者へ通知・調整

60

Horner Automation 製 Remote Compact Controller 972 における複数の 注意喚起として掲載
脆弱性61

BD 製 BodyGuard におけるハードウェアインターフェイスに対する保 注意喚起として掲載
護機構の欠如の脆弱性

62

コンテック製 SolarView Compact におけるクロスサイトスクリプティ 製品開発者へ通知・調整
ングの脆弱性63

バッファロー製ネットワーク機器における複数の脆弱性

64

Rockwell Automation 製 Logix コントローラにおける不適切な入力確認 注意喚起として掲載
の脆弱性

65

AVEVA 製 InTouch Access Anywhere における相対パストラバーサルの 注意喚起として掲載
脆弱性

66

Advantech 製 iView における SQL インジェクションの脆弱性

67

三菱電機製 GENESIS64 のプロジェクト管理機能におけるパストラバ 製品開発者へ通知・調整
ーサルの脆弱性68

コンテック製 CONPROSYS HMI System (CHS)における OS コマンド 製品開発者へ通知・調整
インジェクションの脆弱性

69

Schneider Electric 製 APC Easy UPS Online Monitoring Software にお 注意喚起として掲載
ける複数の脆弱性

70

Siemens 製品に対するアップデート（2022 年 12 月）

製品開発者へ通知・調整

12

製品開発者へ通知・調整

注意喚起として掲載

注意喚起として掲載

項番

脆弱性

対応状況

71

OpenSSL の X.509 ポリシー制限における二重ロックの問題

72

シャープ製デジタル複合機におけるコマンドインジェクションの脆弱 製品開発者へ通知・調整
性73

Prosys OPC UA Simulation Server および Prosys OPC UA Modbus 注意喚起として掲載
Server における認証情報の不十分な保護の脆弱性

74

オムロン製 CX-Drive における解放済みメモリ使用（use-after-free）の 製品開発者へ通知・調整
脆弱性

75

Delta Electronics 製 4G Router DX-3021 におけるコマンドインジェク 注意喚起として掲載
ションの脆弱性76

ARC Informatique 製 PcVue における複数の脆弱性

注意喚起として掲載

77

複数の Rockwell Automation 製品における複数の脆弱性

注意喚起として掲載

78

富士電機製 Tellus Lite V-Simulator における複数の脆弱性

製品開発者へ通知

79

三菱電機製 MELSEC iQ-R シリーズおよび MELIPC シリーズの Ethernet 製品開発者へ通知・調整
ポートにおけるリソースの不適切なシャットダウンおよびリリースの脆弱性

80

Rockwell Automation 製 Studio 5000 Logix Emulate における不適切な 注意喚起として掲載
アクセス制御の脆弱性

81

Priva 製 TopControl Suite における強度が不十分なパスワードハッシュ 注意喚起として掲載の使用の脆弱性

82

Trend Micro Apex One および Trend Micro Apex One SaaS における複 製品開発者へ通知・調整
数の脆弱性

83

富士電機製 V-Server における複数の脆弱性

製品開発者へ通知・調整

84

富士電機製 V-SFT および TELLUS における複数の脆弱性

製品開発者へ通知・調整

製品開発者へ通知

2-1-6. 優先情報提供の実施状況
2018 年 4 月から、脆弱性による国民の日常生活に必要不可欠なサービスへの被害を低減する
ために、これらのサービスを提供する重要インフラ事業者等（*16）に対して脆弱性対策情報を JVN
公表前に優先的に提供しています。本四半期に優先情報提供したものは、電力分野 1 件、政府機関 3 件で、累計では 62 件（電力分野 36 件、政府機関 26 件）でした。

（*16）

内閣サイバーセキュリティセンター（NISC）の最新の「重要インフラの情報セキュリティ対策に係る行動計画」で定める重要インフラ事業者等とします。

13

2-1-7. 連絡不能案件の処理状況
図 2-12 は、2011 年 9 月末から本四半期末までに「連絡不能開発者」と位置づけて取り扱った
251 件の処理状況の推移を示したものです。
「製品開発者名公表（①）
」、および製品開発者名を公表しても製品開発者からの応答がないた
め追加情報として公表する「製品名公表（②）」について、本四半期における新たな公表はありませんでした。また、製品開発者と調整が再開したもの（「調整中（③）
」）および本四半期の「調整完了（④）
」については変動がありませんでした。
この結果、本四半期末時点で連絡不能案件（①+②）は 169 件、調整再開した案件（③+④）は52 件、公表判定委員会の判定にて JVN 公表が適当であると判定され JVN 公表に至った案件（⑤）
は 30 件となりました。
なお、公表判定委員会の判定にて JVN 公表が適当であると判定され JVN 公表に至った案件（⑤）
について、本四半期に公表した案件はありませんでした。
連絡不能案件（製品開発者と連絡がとれないソフトウェア製品の脆弱性届出）
連絡不能開発者一覧①製品開発者名公表（製品開発者からの連絡を求めるため）②製品名公表（製品関係者からも連絡を求めるため）

公表判定委員会（公表して良いかを判定）

調整再開

調整再開

調整再開

③調整中
（製品開発者と接触でき、調整着手）④調整完了⑤調整不能案件
としてJVN公表

調整再開案件（製品開発者から連絡があり、脆弱性対応に係る調整を再開した案件）

2022年
第3四半期

169件
（ ①1件 ②168件 ）52件（ ③20件 ④32件 ）

⑤30 件

合計
251件

2022年
第4四半期

169件
（ ①1件 ②168件 ）52件（ ③20件 ④32件 ）

⑤30 件

合計
251件

図2-12．連絡不能案件の処理状況

14

2-2. ウェブサイトの脆弱性
2-2-1. 処理状況
図 2-13 は、ウェブサイトの脆弱性届出の処理状況について、四半期ごとの推移を示したものです。本四半期末時点の届出の累計は 12,488 件で、本四半期中に取扱いを終了したものは 91 件（累計 10,799 件）でした。このうち「修正完了」したものは 74 件（累計 8,419 件）、「注意喚起」
により処理を取りやめたもの（*17）は 0 件（累計 1,130 件）、IPA およびウェブサイト運営者が「脆弱性ではない」と判断したものは 16 件（累計 732 件）でした。ウェブサイト運営者への連絡手段がないなど「取扱不能」と判断したものは 0 件（累計 232 件）でした。なお、ウェブサイト運営
者への連絡は通常メールで行い、連絡が取れない場合に電話や郵送での連絡も行っています。また「不受理」としたものは 1 件（*18）（累計 286 件）でした。取扱いを終了した累計 10,799 件のうち「修正完了」「脆弱性ではない」の合計 9,151 件は全て、ウェブサイト運営者からの報告、
もしくは IPA の判断により、指摘した点が解消されていることが確認されたものです。なお「修正完了」のうち、ウェブサイト運営者が当該ページを削除したものは 4 件（累計 1,138 件）、ウェブサイト運営者が運用により被害を回避したものは 0 件（累計 36 件）でした。
10,551

2021年
12月末

8,202

[69%]

1,130

[69%]

1,130

[69%]

1,130

[69%]

1,130

230
704

1,573
285

合計 12,124件

10,613
2022年
3月末

8,261

230
707

1,609
285

合計 12,222件

10,646
2022年
6月末

8,290

231
710

1,665

合計 12,311件

1,697

合計 12,405件

1,689

合計 12,488件

285

10,708
2022年
9月末

8,345

取扱い終了 10,799 (91)

修正完了 8,419 (74)
[69%]

2022年
12月末

当該ページ削除
1,138(4)232716

脆弱性ではない
運用で回避
36(0)

注意喚起 732
1,130 (0) (16)
取扱不能 232(0)

0

取扱い終了

285

取扱い中
不受理 286(1)1,000 2,000 3,000 4,000 5,000 6,000 7,000 8,000 9,000 10,000 11,000 12,000 13,000（ ）内の数値は今四半期に処理を終了した件数［］内の数値は受理した届出のうち修正完了した割合

修正完了
当該ページを削除
運用で回避
注意喚起
脆弱性ではない
取扱不能

不受理
取扱い中

： ウェブサイト運営者により脆弱性が修正されたもの：
修正完了のうち、当該ページを削除したもの：
修正完了のうち、運用により被害を回避しているもの： IPA による注意喚起で広く対策実施を促した後、処理を取りやめたもの： IPA およびウェブサイト運営者が脆弱性はないと判断したもの： ウェブサイト運営者からの回答がなく、取扱いができないもの
ウェブサイト運営者が対応しないと判断したもの
ウェブサイト運営者への連絡手段がないと判断したもの： 告示で定める届出の対象に該当しないもの： IPA が内容確認中、ウェブサイト運営者が調査、対応中のもの

図 2-13.ウェブサイト脆弱性の届出処理状況の四半期別推移（*17）

「多数のウェブサイトにおいて利用されているソフトウェア製品に修正プログラムが適用されていない」といった届出があった場合、効果的に周知徹底するため「注意喚起」を公表することがあります。そうした場
合、「注意喚起」をもって届出の処理を取りやめます。
（*18）
内訳は本四半期の届出によるもの 1 件、前四半期以前によるものが 0 件。

15

届出受付開始から本四半期末までに届出のあったウェブサイトの脆弱性 12,488 件のうち、不受理を除いた件数は 12,202 件でした。以降、不受理を除いた届出について集計した結果を記載します。
2-2-2. 運営主体の種類別届出件数
図 2-14 は、届出された脆弱性のウェブサイト運営主体の種類について、過去 2 年間の届出件数の推移を四半期ごとに示しています。本四半期は届出が 82 件あり、そのうち約 5 割を企業が占めています。
不明
個人
政府機関
教育・学術機関団体
地方公共団体企業（その他）
企業（株式・非上場）企業（株式・上場）

300件
250件
200件
150件
100件
50件
0件

1Q
2021

2Q

3Q

4Q

1Q
2022

2Q

3Q

4Q

図2-14．四半期ごとの運営主体の種類別届出件数

2-2-3. 脆弱性の種類・影響別届出件数
図 2-15、2-16 は、届出された脆弱性の種類別の内訳です。図 2-15 は届出の種類別割合を、図2-16 には過去 2 年間の四半期ごとの種類別届出件数の推移を示しています（*19）。
本四半期は「クロスサイト・スクリプティング（59 件）」が最も多く、次いで「SQL インジェクション（7 件）」となっています。累計では、「クロスサイト・スクリプティング」だけで 59%を占めており、次いで「SQL インジェクション」と「DNS 情報の設定不備」が 11％となっています。「DNS 情報の設定不備」は、2008 年から 2009 年にかけて多く届出されたものが反映されています。なお、この統計値の利用にあたっては、本制度における届出の傾向であることにご留意ください。

ウェブサイトの脆弱性の種類別の届出状況
クロスサイト・スクリプティング
SQLインジェクション
DNS情報の設定不備
ファイルの誤った公開ディレクトリ・トラバーサル
HTTPSの不適切な利用
その他

300件
250件
200件

12%
2%
2%
3%

59%
(59%)

150件

82

11%
(11%)

7

100件

50件

59
11%
(11%)

1Q 2Q
2021

3Q

(12,202件の内訳、グラフの括弧内は前四半期までの数字)

0件
1Q 2Q 3Q 4Q
2022(過去2年間の届出内訳)

図2-16．四半期ごとの脆弱性の種類別届出件数

図2-15．届出累計の脆弱性の種類別割合

（*19）

4Q

それぞれの脆弱性の詳しい説明については付表 2 を参照してください。

16

図 2-17、2-18 は、届出された脆弱性がもたらす影響別の内訳です。図 2-17 は届出の影響別割合を、図 2-18 には過去 2 年間の四半期ごとの影響別届出件数の推移を示しています。
本四半期は「本物サイト上への偽情報の表示（59 件）」が最も多く、次いで「データの改ざん、消去（7 件）」となっています。累計では、「本物サイト上への偽情報の表示」、「データの改ざん、消去」、「ドメイン情報の挿入」が全体の約 8 割を占めています。これらは、脆弱性の種類別割合で上位を占めた「クロスサイト・スクリプティング」「SQL インジェクション」「DNS 情報の設定不備」などにより発生するものです。

ウェブサイトの脆弱性がもたらす影響別の届出状況

300

本物サイト上への偽情報の表示
データの改ざん、消去

250

ドメイン情報の挿入
サーバ内ファイルの漏洩

2%
3%
4%
4%

個人情報の漏洩
なりすまし
Cookie情報の漏洩

7%

200

57%
(57%)

150

100

82

その他

7
59

11%
(11%)
12%
(12%)

1Q 2Q
2021

3Q

4Q

(12,202件の内訳、グラフの括弧内は前四半期までの数字)

50

0
1Q 2Q 3Q 4Q
2022(過去2年間の届出内訳)

図2-18．四半期ごとの脆弱性がもたらす影響別
届出件数

図2-17．届出累計の脆弱性がもたらす影響別割合

2-2-4. 修正完了状況
図 2-19 は、過去 3 年間のウェブサイトの脆弱性の修正完了件数を四半期ごとに示しています。
本四半期に修正を完了した届出 74 件のうち 67 件（91%）は、ウェブサイト運営者へ脆弱性関連情報を通知してから 90 日以内に修正が完了しました。表 2-5 は、修正が完了した全届出のうち、
ウェブサイト運営者に通知してから、90 日以内に修正が完了した脆弱性の累計およびその割合を
過去 3 年間において四半期ごとに示したものです。本四半期の割合は 69%でした。
四半期件数

250件

7,788

0-90日以内

7,849

91-300日以内

7,994

7,921

完了件数(四半期計)

301日以上

8,069

8,117

8,161

8,202

8,261

完了件数(累計)

8,290

8,345

8,419

9,000件
8,000件200件

7,000件6,000件

150件
100件

累計件数

5,000件62

61

4,000件

73

72

75
48

50件

44

59

41

55

74

2,000件29
49 2 4 67 4 3

0件
1Q
2020

2Q

3Q

4Q

1Q
2021

2Q

3Q

4Q

1Q
2022

2Q

3Q

3,000件
1,000件
0件

4Q

図2-19．ウェブサイトの脆弱性の修正完了件数
表 2-5．90 日以内に修正完了した累計およびその割合の推移
2020
1Q

2Q

3Q

4Q

2021
1Q

2Q

3Q

4Q

2022
1Q

2Q

3Q

4Q

修正完了件数

7,788

7,849

7,921

7,994

8,069

8,117

8,161

8,202

8,261

8,290

8,345

8,419

90 日以内の件数

5,204

5,264

5,333

5,404

5,476

5,521

5,560

5,598

5,655

5,683

5,732

5,799

90 日以内の割合

67%

67%

67%

68%

68%

68%

68%

68%

68%

69%

69%

69%

17

図 2-20、2-21 は、ウェブサイト運営者に脆弱性関連情報を通知してから修正されるまでに要した日数を脆弱性の種類別に分類し、その傾向を示しています（*20）。全体の 51%の届出が 30 日以内、全体の 69%の届出が 90 日以内に修正されています。
69%(90日以内の修正)
51%(30日以内の修正)
その他(477件)
リダイレクタの不適切な利用(68件)
OSコマンドインジェクション(86件)セッション管理の不備(104件)
HTTPレスポンス分割(104件)
認証に関する不備(131件)
ディレクトリ・トラバーサル(215件)
ファイルの誤った公開(237件)
DNS情報の設定不備(552件)
SQLインジェクション(988件)
クロスサイト・スクリプティング(5,457件)

1,400件

1,200件

1,000件

800件

600件

6%

14%

11%
10%

10%

9%

9%
7%

6%

6%

6%

400件

3%

3%

2日

3日

200件

0件
0日

1日

4日
6日
11日
21日
31日
51日
91日 201日 301日～～5日 ～10日 ～20日 ～30日 ～50日 ～90日 ～200日 ～300日（パーセント表示は、全体に占める期間毎の割合を示す）

図2-20．ウェブサイトの修正に要した日数
クロスサイト・スクリプティング(5,457件)
SQLインジェクション(988件)
DNS情報の設定不備(552件)
ファイルの誤った公開(237件)

ディレクトリ・トラバーサル(215件)
認証に関する不備(131件)
HTTPレスポンス分割(104件)
セッション管理の不備(104件)
OSコマンドインジェクション(86件)

リダイレクタの不適切な利用(68件)
その他(477件)

0～10日

11日～20日

0%

20%

40%

21日～30日

31日～50日

51日～90日

60%
91日～200日

80%

100%

201日～300日

301日～

図2-21．ウェブサイトの修正に要した脆弱性種類別の日数の傾向（*20）

運営者から修正完了の報告があったもの、および、脆弱性が修正されたと IPA で判断したものも含めて示しています。なお、0 日は脆弱性関連情報を通知した当日に修正されたもの、または運営者へ脆弱性関連情報を通知する前に修正されたものです。

18

2-2-5. 長期化している届出の取扱経過日数
ウェブサイト運営者から脆弱性を修正した旨の報告がない場合、IPA は 1～2 ヶ月毎にメールや電話、郵送などの手段でウェブサイト運営者に繰り返し連絡を試み、脆弱性対策の実施を促しています。
図 2-22 は、ウェブサイトの脆弱性のうち、取扱いが長期化しているもの（IPA からウェブサイト運営者へ脆弱性関連情報を通知してから、90 日以上修正した旨の報告が無い）について、経過日数別の件数を示したものです。これらの合計は 644 件（前四半期は 615 件）となり前四半期より増加しています。これらのうち、SQL インジェクションという深刻度の高い脆弱性の割合は全体の約 18%を占めています。この脆弱性は、ウェブサイトの情報が窃取されてしまうなどの危険性が高いものです。
400件
350件
300件
250件
200件
150件
100件
50件
0件

（長期化 合計644件）

385

その他
SQLインジェクション
クロスサイト・スクリプティング

119
68

45
8
27 10
90～
199日

26
5
9 12
200～
299日

22
5
13 4

10
7
1 2

28
9
17 2

28
4
21 3

45
7
4
34

32
10
14 8

2
4
18 1

300～
399日

400～
499日

500～
599日

600～
699日

700～
799日

800～
899日

900～
999日

198

1000日
以上

図2-22．取扱いが長期化(90日以上経過)している届出の取扱経過日数と脆弱性の種類

表 2-6 は、過去 2 年間の四半期末時点で取扱い中の届出と、取扱いが長期化している届出の件数、およびその割合を示しています。
表 2-6．取扱いが長期化している届出件数および割合の四半期ごとの推移
2021
1Q

2Q

3Q

4Q

2022
1Q

2Q

3Q

4Q

取扱い中の件数

1,327

1,482

1,542

1,573

1,609

1,665

1,697

1,689

長期化している件数

443

516

534

551

563

585

615

644

長期化している割合

33%

35%

35%

35%

35%

35%

36%

38%

19

3. 関係者への要望
脆弱性の修正促進のための、各関係者への要望は次のとおりです。

3-1. 製品開発者
JPCERT/CC は、ソフトウェア製品の脆弱性関連情報を、「製品開発者リスト」に基づき、一般
公表日の調整等を行います。迅速な調整が進められるよう、「製品開発者リスト」に登録してください（URL：https://www.jpcert.or.jp/vh/regist.html）。また、製品開発者自身が自社製品の脆弱性関連情報を発見した場合も、対策情報を利用者へ周知するために JVN を活用することができます。
JPCERT/CC もしくは IPA へ連絡してください。
なお、製品開発にあたっては、次のコンテンツが利用できます。
⇒「IoT 開発におけるセキュリティ設計の手引き」：https://www.ipa.go.jp/security/iot/iotguide.html⇒「IoT 製品・サービス脆弱性対応ガイド」：https://www.ipa.go.jp/files/000065095.pdf⇒「ファジング：製品出荷前に未知の脆弱性をみつけよう」：https://www.ipa.go.jp/security/vuln/fuzzing.html⇒「脆弱性対処に向けた製品開発者向けガイド」：
https://www.ipa.go.jp/security/vuln/report/notice/guideforvendor.html

3-2. ウェブサイト運営者
多くのウェブサイトで利用しているソフトウェア製品に脆弱性が発見されています。自身のウェブサイトでどのようなソフトウェア製品を利用しているか把握し、脆弱性対策を実施する事が必要です。脆弱性の理解・対策にあたっては、次の IPA が提供するコンテンツが利用できます。
⇒「知っていますか？脆弱性（ぜいじゃくせい）」： https://www.ipa.go.jp/security/vuln/vuln_contents/⇒「安全なウェブサイトの作り方」：https://www.ipa.go.jp/security/vuln/websecurity.html⇒「安全な SQL の呼び出し方」：https://www.ipa.go.jp/security/vuln/websecurity.html⇒「Web Application Firewall 読本」：https://www.ipa.go.jp/security/vuln/waf.html⇒「安全なウェブサイトの運用管理に向けての 20 ヶ条 ～セキュリティ対策のチェックポイント～」：https://www.ipa.go.jp/security/vuln/websitecheck.html⇒「IPA 脆弱性対策コンテンツリファレンス」：https://www.ipa.go.jp/files/000051352.pdf⇒「サーバ用オープンソースソフトウェアに関する製品情報およびセキュリティ情報ページ」：
https://www.ipa.go.jp/security/announce/sw_security_info.html⇒「安全なウェブサイト運営にむけて ～ 企業ウェブサイトのための脆弱性対応ガイド ～」：https://www.ipa.go.jp/files/000089537.pdf⇒「ウェブサイト運営者向けセキュリティ問い合わせ窓口設置の手引き」：
https://www.ipa.go.jp/files/000096758.pdf

また、ウェブサイトの脆弱性診断実施にあたっては、次のコンテンツが利用できます。
⇒「ウェブ健康診断仕様」：https://www.ipa.go.jp/security/vuln/websecurity.html⇒「動画で知ろう！クロスサイト・スクリプティングの被害！」（情報セキュリティ技術解説映像-脆弱性対策：
ウェブアプリケーション）：https://www.ipa.go.jp/security/keihatsu/videos/index.html#eng

3-3. 一般のインターネットユーザー
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がける必要があります。ソフトウ
ェアを利用する場合は、脆弱性対策を実施してから利用してください。
20なお、一般インターネットユーザー向けには、次のツールを提供しています。
⇒「MyJVN バージョンチェッカ for .NET」：https://jvndb.jvn.jp/apis/myjvn/vccheckdotnet.html
利用者の PC、サーバ上にインストールされたソフトウェア製品のバージョンを容易にチェックする等の機能。

また、一般インターネットユーザー向けに次のコンテンツを公開しています。
⇒「ネット接続製品の安全な選定・利用ガイド」(動画付き)：
https://www.ipa.go.jp/security/vuln/report/notice/guideforconsumer.html

3-4. 発見者
脆弱性関連情報の適切な流通のため、届出した脆弱性関連情報については、脆弱性が修正されるまでは、第三者に漏れないよう、適切に管理してください。
なお、発見者向けに以下のコンテンツを公開しています。
⇒「脆弱性関連情報として取り扱えない場合の考え方の解説」：
https://www.ipa.go.jp/security/vuln/report/notice/handling_notaccept.html⇒「脆弱性発見・報告のみちしるべ～発見者に知っておいて欲しいこと～」（情報セキュリティ技術解説映像脆弱性報告）：https://www.ipa.go.jp/security/keihatsu/videos/index.html#eng

21

付表 1. ソフトウェア製品の脆弱性の原因分類
脆弱性の原因説明

届出において想定された脅威1

設定情報の漏洩通信の不正中継アクセス制御の不 アクセス制御を行うべき個所において、ア
なりすまし
備
クセス制御が欠如している。
任意のスクリプトの実行
認証情報の漏洩2

アクセス制限の回避
価格等の改ざん
サービス不能
資源の枯渇
ウェブアプリケーションに対し、入力され重要情報の漏洩た情報の内容の解釈や認証情報の取扱い、情報の漏洩
ウェブアプリケー 出力時の処理に問題がある。「クロスサイ
セッション・ハイジャック
ションの脆弱性
ト・スクリプティング」攻撃や「SQL イン
通信の不正中継
ジェクション」攻撃などに利用されてしまなりすましう。
任意のコマンドの実行
任意のスクリプトの実行
任意のファイルへのアクセス
認証情報の漏洩3

仕様上の不備4

ウェブブラウザやメールクライアントソ
証明書の検証に関 フトに証明書を検証する機能が実装され 証明書の確認不能
する不備ていない、または、検証が正しく行われず なりすましに、偽の証明書を受けいれてしまう。

5

本来、厳しい制限のあるセキュリティコン アプリケーションの異常終了
セキュリティコン
テキストで取扱うべき処理を、緩い制限の 情報の漏洩
テキストの適用のセキュリティコンテキストで処理してし 任意のコードの実行
不備
まう。
任意のスクリプトの実行

6

想定外の長さの入力が行われた場合に、長サービス不能バッファのチェッ さをチェックせずバッファに入力してし任意のコードの実行
クの不備
まう。「バッファオーバーフロー」攻撃に任意のコマンドの実行利用されてしまう。

7

処理の際のパラメータとして指定されているディレクトリ名やファイル名、ファイ
アプリケーションの異常終了
ルの内容をチェックしていない。任意のデファイルのパス名、
サービス不能ィレクトリのファイルを指定できてしま
内容のチェックの資源の枯渇
い、「ディレクトリ・トラバーサル」攻撃
不備
任意のファイルへのアクセスに利用されてしまう。また、破損したファ
認証情報の漏洩
イルや不正に書き換えられたファイルを処理した際に不具合が生じる。

RFC 等の公開された規格に準拠して、設 サービス不能
計、実装した結果、問題が生じるもの。 資源の枯渇

22

付表 2. ウェブサイトの脆弱性の分類
脆弱性の種類

1

ファイルの誤った公
開

深刻度

説明

届出において想定された脅威高個人情報の漏洩
一般に公開すべきでないファイルが公サーバ内ファイルの漏洩
開されており、自由に閲覧できる状態にデータの改ざん、消去なっている。
なりすまし

2

パス名パラメータの未チェック

高ユーザからの入力を処理する際のパラメータとして指定されているファイル
名を、ユーザが変更し、ウェブサーバ上 サーバ内ファイルの漏洩の任意のディレクトリのファイルを指定できてしまう。

3

ディレクトリ･トラバーサル

高ウェブサーバ上のディレクトリのアク
個人情報の漏洩
セス権を超えて、本来許可されている範サーバ内ファイルの漏洩
囲外のディレクトリにアクセスできる。

4

セッション管理の不備高セッション管理に、推測可能な情報を使
Cookie 情報の漏洩用しているため、他のユーザの情報が容個人情報の漏洩
易に推測でき、他のユーザになりすまし
なりすまして、サービスを利用することができる。

5

SQL インジェクション

高入力フォームなどへ SQL コマンド（デ個人情報の漏洩ータベースへの命令）を入力し、データサーバ内ファイルの漏洩
ベース内の情報の閲覧、更新、削除など
データの改ざん、消去
ができる。

高

DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名のドメイン情報の挿入
持ち主であるかのようにふるまえてしまう。

中外部の第三者により、他のサーバへのア
クセスを中継するサーバとして利用さ
踏み台
れ、不正アクセスなどの際にアクセス元を隠すための踏み台にされてしまう。

中

Cookie 情報の漏洩
ユーザの Cookie 情報を知らないうちに サーバ内ファイルの漏洩転送させたり、偽の情報を表示させたり 個人情報の漏洩するような罠のリンクをユーザにクリ データの改ざん、消去
ックさせ、個人情報等を盗むことができ なりすましる。
本物サイト上への偽情報の表示

中

ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそ
データの改ざん、消去
かにアクセスさせ、登録情報の変更や商品の購入をさせることができる。

中

攻撃者がユーザに対し、悪意のある要求
をウェブサーバに送信するように仕向けることで、ウェブサーバからの応答を ウェブキャッシュ情報の分割させて応答内容をすり替え、ユーザ すり替えに対して偽のページを表示させること
ができる。

中

ユーザに対し、ソフトウェアをインストールさせたり、ブラウザのセキュリティ
利用者のセキュリティレ
レベルを下げるよう指示することでクベルの低下
ライアント PC のセキュリティ設定を低
下させる。

中

ウェブサーバに設置したリダイレクタ
踏み台が悪意あるリンクへの踏み台にされた
本物サイト上への偽情報
り、そのウェブサイト上で別のサイト上の表示のページを表示させられてしまう。

6

7

DNS 情報の設定不備

オープンプロキシ

8

クロスサイト･
スクリプティング

9

クロスサイト・リク
エスト・フォージェ
リ

10

11

HTTP レスポンス分
割

セキュリティ設定の不適切な変更リダイレクタの不適
12
切な利用

23

脆弱性の種類

13

14

深刻度

フィルタリングの回避OS コマンド・インジ
ェクション

15 メールの第三者中継

16

HTTPS の 不 適 切 な
利用

17 価格等の改ざん

届出において説明想定された脅威中

ウェブサイトのサービスやブラウザの機能として提供されているフィルタリ 利用者のセキュリティレ
ング機能が回避される問題。これによ ベルの低下
り、本来制限されるはずのウェブページ なりすましを閲覧してしまう。

中

攻撃者がウェブアプリケーションを介してウェブサーバの OS コマンドを実行できてしまい、サーバ内ファイルの閲覧 任意のコマンドの実行やシステム操作、不正なプログラムの実
行などを行われてしまう。

低利用者が入力した内容を管理者が指定したメールアドレスに送信する機能で、メールシステムの不正利
外部の利用者が宛先メールアドレスを用自由に指定できてしまい、迷惑メール送
信の踏み台に悪用される。

低

HTTPS による暗号化をしているが、暗号の選択や設定が十分でなかったり、ウェブサイトでのユーザへの説明に間違 なりすましいがある、または、ウェブサイトの設計
上、ユーザから証明書が確認できない。

低ショッピングサイトにおいて、価格情報等が利用者側で書き換えられる。書き換
データの改ざんえによる被害は、ウェブサイト側に限定
される。

・API

: Application Program Interface

・RFC: Request For Comments

・CGI: Common Gateway Interface

・SQL: Structured Query Language

・DNS: Domain Name System

・SSI: Server Side Include

・HTTP: Hypertext Transfer Protocol

・SSL: Secure Socket Layer

・HTTPS: Hypertext Transfer Protocol Security

・TCP: Transmission Control Protocol

・URI: Uniform Resource Identifier・URL: Uniform Resource Locator・ISAKMP : Internet Security Association
・MIME

Key Management Protocol: Multipurpose Internet Mail Extension

付図 1．「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報の取扱制度）
情報セキュリティ早期警戒パートナーシップ

脆弱性関連
情報届出

ソフトウェア
製品の脆弱性

脆弱性関連
情報通知

受付・分析機関

発
見
者

報告された
脆弱性関連情報の内容確認・検証

調整機関

対応状況の集約、
公表日の調整等

脆弱性対策情報ポータル

対応状況等
公表

公表日の決定、
海外の調整機関との連携等
ソフトウェア
システム
製品開発者
導入支援者
検証、対策実施

分析支援機関セキュリティ対策推進協議会等

ウェブサイトの
脆弱性

脆弱性関連
情報届出

産総研など

脆弱性関連情報通知

ウェブサイト運営者

ユーザ

政府
企業
個人

個人情報の漏えい時は事実関係を公表

検証、対策実施①製品開発者及びウェブサイト運営者による脆弱性対策を促進【期待効果】 ②不用意な脆弱性関連情報の公表や脆弱性の放置を抑制③個人情報等重要情報の流出や重要システムの停止を予防※IPA:独立行政法人情報処理推進機構、JPCERT/CC:一般社団法人 JPCERT コーディネーションセンター、産総研：国立研究開発法人産業技術総合研究所

24