プレスリリース
2008 年 4 月 16 日
独立行政法人 情報処理推進機構
有限責任中間法人 JPCERT コーディネーションセンター

ソフトウェア等の脆弱性関連情報に関する届出状況 [2008 年第 1 四半期（1 月～3 月）]
独立行政法人 情報処理推進機構（略称：IPA、理事長：西垣 浩司）および有限責任中間法人 JPCERT コ
ーディネーションセンター（略称：JPCERT/CC、代表理事：歌代 和正）は、2008 年第 1 四半期（1 月～3 月）の脆弱性関連情報の届出状況1をまとめました。
今四半期のトピックス：「情報セキュリティ早期警戒パートナーシップ」による脆弱性の届出件数が 2,000 件に達しました。

1．2008 年第 1 四半期の概況
1.1 脆弱性の届出状況

表 1. 2008 年第 1 四半期の届出件数
分類

2008 年第 1 四半期（2008 年 1 月 1 日から 3 月 31 日まで）の IPA への脆弱性関連情報の届出件数は、ソフトウェア製品
に関するもの 53 件、ウェブアプリケーション（ウェブサイト）に関

届出件数

累計件数

ソフトウェア製品

53 件

679 件

ウェブサイト244 件

1,367 件

297 件

2,046 件計するもの 244 件、合計 297 件でした。届出受付開始（2004

年 7 月 8 日）からの累計は、ソフトウェア製品に関するもの 679 件、ウェブサイトに関するもの 1,367 件、合計2,046 件で、ウェブサイトに関する届出が全体の 3 分の 2 を占めています（表１）。
届出が年々増加しており、届出受付開始（2004 年 7 月 8 日）から各四半期末までの業務日 1 日あたりの届出件数が、今四半期で 2.24 件となりました。累計件数が 1,000 件に達するのに 2 年半（2004 年 3Q～2006 年
4Q）を要しましたが、その後、1 年 3 カ月（2007 年 1Q～2008 年 1Q）で 2,000 件に達しました（図 1）。
今四半期は、政府機関のウェブサイトに関する脆弱性や、特定のウェブブラウザの動作に依存したウェブサイトの脆弱性の届出が増加するなど、ウェブサイトに関する届出が過去最多を記録しました。これまで見落とされがちだったものが多数届出られ、潜在していた脆弱性が顕在化しているものと考えています。
就業日 1 日あたりの届出件数（届出受付開始から各四半期末時点）
2005/1Q 2006/1Q 2006/2Q 2006/3Q 2006/4Q 2007/1Q 2007/2Q 2007/3Q 2007/4Q 2008/1Q
1.45

1.61

1.70

1.75

1.92

ソフトウェア製品に関する届出
300
ソフトウェア製品に関する届出（累計）

1.95

1.98

2.03

ウェブサイトに関する届出
ウェブサイトに関する届出（累計）

250

1,043

200

四
150
半
期 100
件 50
数
0

277

379

434

507

140 211143 178
100
67
46
73

19 73 14 67 13 71 21 66 33 102 43 55 35

564

661

264 303

749
428

845

2.05

2.24

1,367
1,123

940

560
465 511

1,500
1,250
1,000

626 679

86 57 39 97 125 88 37 96 46 95 49 103 66 80 53 244

累
計
500
件
250 数
750

0

3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q
2004 2004 2005 2005 2005 2005 2006 2006 2006 2006 2007 2007 2007 2007 2008

図１.脆弱性関連情報の届出件数の四半期別推移
1

ソフトウェア等の脆弱性関連情報に関する届出制度：経済産業省告示に基づき、2004 年 7 月より開始しました。IPA
は届出受付・分析、JPCERT/CC は国内の製品開発者などの関連組織との調整を行っています。

1

1.2 脆弱性の取扱い状況

表 2．2008 年第 1 四半期の取扱い件数

2008 年第 1 四半期の脆弱性の取扱い状況は、ソ分類

フトウェア製品に関して届出が 53 件あり、取扱い終

状況

件数

53 件

679 件

33 件

405 件

取扱い中

20 件

274 件

届出

244 件

1,367 件

取扱い終了

78 件

1,040 件

取扱い中

166 件

327 件

届出

了2が 33 件のため、取扱中が 20 件増加して累計

ソフトウェア製品 取扱い終了

274 件となりました。ウェブサイトに関しては、届出が244 件あり、取扱い終了3が 78 件のため、取扱中が166 件増加して累計 327 件となりました（表 2）。

ウェブサイト図 2 は、ソフトウェア製品に関して各四半期に届出累計件数のあったものの現在の取扱い状況です。例えば、
2006 年第 2 四半期に届出のあった 86 件は、50 件の取扱いを終了しましたが 36 件は取扱中です。また、2006
年第 3 四半期に届出のあった 39 件は、23 件の取扱いを終了しましたが 16 件は取扱中です。
このように、ソフトウェア製品に関しては、2006 年に届出られたものでも、まだ、38%が取扱中のままです。
2007 年に届出られたものの 56%が取扱中のままです。ソフトウェア製品開発者は、脆弱性を攻撃された場合の顧客システムへの影響の重大さを認識し、早期に対策を講じる必要があります。
140

取扱い終了

120

件
数

取扱い中

100
80

78

60

22

50

40
20
0

19

23

23

24

12

32
27
29
36 16 47 18 23 25 44 41
11
12 21
11
8
4
3
1
3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q
2004 2004 2005 2005 2005 2005 2006 2006 2006 2006 2007 2007 2007 2007 2008
19

図２．ソフトウェア製品に関して各四半期に届出のあったものの現在の状況
ウェブサイトに関しては 2007 年に届出られたものの 24%が取扱い中のままです（図 3）。ウェブサイト運営者
は、脆弱性を攻撃された場合の重大さを認識し、早期に対策を講じる必要があります。

250

取扱い終了

200

件
数

53

取扱い中

150
100
50
0

67

70

62

100

68

54

94

80

83

77

78

47
49
191
13 18 25 33
8
6
5
4
3
3
2
1
3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q
2004 2004 2005 2005 2005 2005 2006 2006 2006 2006 2007 2007 2007 2007 2008
73

図３．ウェブサイトに関して各四半期に届出のあったものの現在の状況
2
3

ソフトウェア製品開発者が修正完了したもの、脆弱性ではないと判断したもの、不受理のもの。
ウェブサイト運営者が修正完了したもの、脆弱性ではないと判断したもの、連絡不可能なもの、不受理のもの。

2

2.ソフトウェア製品の脆弱性の処理状況
表 3．ソフトウェア製品の脆弱性の終了件数

2008 年第 1 四半期のソフトウェア製品の脆弱性の処理状

分類

況は、JPCERT/CC が調整を行い、製品開発者が脆弱性の修正完了

修正を完了し、JVN4で対策情報を公表したものは 19 件でした。製品開発者からの届出のうち JVN で公表せず製品開発者が個別対応を行ったものは 2 件、製品開発者が脆弱性ではないと判断したものは 0 件、告示で定める届出の対象に該

件数

累計件数

公表済み

19 件

261 件

個別対応

2件

14 件

脆弱性ではない

0件

31 件

不受理

12 件

99 件

33 件

405 件

合計

当せず不受理としたものは 12 件でした。これらの取扱いを終了したものの合計は 33 件（累計 405 件）です（表 3）。

この他、海外の CSIRT5から JPCERT/CC が連絡を受けた 24 件（累計 327 件）を JVN で公表しました。これらの、公表済み件数の期別推移を図 4 に示します。
国内発見者からの届出
70
国内発見者からの届出(累計)
60

四
半
期
件
数

海外のCSIRTからの連絡
海外のCSIRTからの連絡（累計）

238

50
40
30
20
10
0

34

54
17

71 97
45
30

114
59

133

147
89

67

183
117

203
170

286

261
193

211

303
242

327
261

142

23 18 25 31 17 19 24
3 12 7 22 7 20 13 17 15 26 14 17 8 19 22 14 28 36 25 20 28 35 23

350
300
250
200 累
150 計
100
50

件
数

0

3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q
2004 2004 2005 2005 2005 2005 2006 2006 2006 2006 2007 2007 2007 2007 2008

図４.ソフトウェア製品の脆弱性対策情報の公表件数
なお、2008 年第 1 四半期において、JVN で対策情報を公表した主なものは、以下のとおりです。
(1)「アイ・オー・データ製無線 LAN ルータ」の脆弱性6
ネットワーク機器の「アイ・オー・データ製無線 LAN ルータ」に組込まれたソフトウェアに、認証機能が初期設定で無効となっている脆弱性が存在しました。この脆弱性が悪用されると外部から管理画面を操作されてしまう可能性があり、3 月 18 日に JVN で対策情報を公表しました。
(2)「Sun JRE」の脆弱性7
Java プログラムを実行するためのソフトウェア「Sun JRE (Java Runtime Environment)」に、本来権限が無いと実行できない処理を誤って実行してしまう脆弱性が存在しました。この脆弱性が悪用されると、ローカ
ルファイルなどにアクセスされてしまう可能性があり、3 月 11 日に JVN で対策情報を公表しました。

4

Japan Vulnerability Notes。脆弱性対策情報ポータルサイト。国内で利用されている製品の脆弱性対策情報を公開し、システムのセキュリティ対策を支援しています。IPA、JPCERT/CC が共同で運営しています。http://jvn.jp/
5Computer Security Incident Response Team。コンピュータセキュリティインシデント対応チーム。コンピュータセキュリ
ティに関するインシデント（事故）への対応・調整・サポートをする組織です。
6
本脆弱性の深刻度=レベル III（危険）、CVSS 基本値=7.5、別紙 P.4 表 1-2 項番 1 を参照下さい。
7
本脆弱性の深刻度=レベル II（警告）、CVSS 基本値=6.8、別紙 P.6 表 1-2 項番 14 を参照下さい。

3(3)「ジャストシステム製品」の脆弱性8
日本語ワープロソフトウェアや表計算ソフトウェアなどの「ジャストシステム製品」のファイルを読みこむ処理に、バッファオーバーフローの脆弱性が存在し、ウェブブラウザの種類によっては、悪意のある URL にアクセ
スするだけで被害を受ける可能性がありました。
この脆弱性が悪用されると、システムが破壊されたり、ウイルスやボットに感染させられたりしてしまう可能性があり、1 月 7 日に JVN で対策情報を公表しました。
(4)「ヤマハルーター製品」の脆弱性9
ネットワーク機器の「ヤマハルーター製品」に組込まれたソフトウェアに、クロスサイト・リクエスト・フォージェリ(CSRF)の脆弱性があり、1 月 28 日に JVN で対策情報を公表しました。

組込みソフトウェアの脆弱性は、今四半期は(1)(4)の他に「複数のキヤノン製デジタル複合機およびレーザービームプリンターの脆弱性」10の計 3 件の脆弱性対策情報を公表しました。

3.ウェブサイトの脆弱性の処理状況
2008 年第 1 四半期のウェブサイトの脆弱性の処理状況は、

表 4．ウェブサイトの脆弱性の終了件数
分類

IPA が通知を行い、ウェブサイト運営者が修正を完了したもの
は 67 件、ウェブサイト運営者が脆弱性ではないと判断したもの
は 9 件、ウェブサイト運営者と連絡が不可能なものが 0 件、告示で定める届出の対象に該当せず不受理としたものは 2 件でした。これらの取扱いを終了したものの合計は 78 件（累計1,040 件）です（表 4）。

件数

累計件数

修正完了

67 件

815 件

脆弱性ではない

9件

140 件

連絡不可能

0件

7件

不受理

2件

78 件

78 件

1040 件合計

これらのうち、修正完了件数の期別推移を図 5 に示します。

ウェブサイト脆弱性の修正完了(累計)815
180 ウェブサイト脆弱性の修正完了
722
160
655
629
140
543
四 120
477
415
半 100
360
323
期 80
269
214
件 60
148
40
110
数
60
20
67
93
26
62
54
37
86
66
55
55
38 66
50
42
18
0
2Q 3Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q
2004 2004 2005 2005 2005 2005 2006 2006 2006 2006 2007 2007 2007 2007 2008

図５.ウェブサイトの脆弱性の修正完了件数
8

本脆弱性の深刻度=レベル II（警告）、CVSS 基本値=6.8、別紙 P.4 表 1-2 項番 2 を参照下さい。
本脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.0、別紙 P.4 表 1-2 項番 3 を参照下さい。
10
本脆弱性の深刻度=レベル II（警告）、CVSS 基本値=5.0、別紙 P.5 表 1-2 項番 11 を参照下さい。
9

4

900
800
700
600
累
500
計
400
300 件
200 数
100
0

3.1 運営主体の内訳～政府機関のウェブサイトに関して通常より多数の届出届出受付開始（2004 年 7 月 8 日）からの今四半期までに届出を受付けたウェブサイトの運営主体別内訳は、企業合計が 71%、政府機関が 6％、地方公共団体が 7％、団体（協会・社団法人）が 9％、教育・学術機関が4％、個人が 6％となっています（図 6）。
今四半期のみを見ると、政府機関のウェブサイトに関する届出が 13％あり、通常の倍の割合の届出となっています（図 7）。

4%

6%

8% 2%

企業（株式・上場）

18%

企業（有限会社、他）

4%

政府機関

6%

地方公共団体13%

5%

団体（協会・社団法人）

47%

6%

48%

教育・学術機関
個人

企業合計：71％20%

3%

企業（株式・非上場）

9%1%

企業合計：73％

図６.ウェブサイトの運営主体（届出受付開始からの累計）

図７.ウェブサイトの運営主体（今四半期のみ）

3.2 特定のウェブブラウザの動作に依存したウェブサイトの脆弱性の届出が多数
今四半期は、特定のウェブブラウザの動作に依存したウェブサイトのクロスサイト・スクリプティングの脆弱性の届出が多くありました（図 8）。これは、ウェブサイトが文字コードを指定しない場合におけるウェブブラウザの文字
コードの解釈に関するもの（UTF-7）や、スクリプトに該当する文字列（Internet Explorer の expression プロパティ）に関するものです。クロスサイト・スクリプティング対策をしていても、対策が不十分なウェブサイトが多く見う
けられます。
ウェブサイトの開発者は「ウェブブラウザが文字コードを独自に解釈することがないように明示的な文字コードの指定を行う」11、「入力された HTML テキストから、スクリプトに該当する文字列を排除する」12などの対策が必
要です。
25

四
半
期
件
数

ソフトウェア製品に関する届出

ウェブサイトに関する届出

20
15
10

25

5
0

3

2

4Q
2005

1Q
2006

1

1

6

2Q
2006

3Q
2006

4Q
2006

1

2

1

1Q
2007

4

7

2Q
2007

1

2

3Q
2007

4

4

4Q
2007

2
1Q
2008

図８．特定のウェブブラウザの動作に依存した脆弱性の届出件数
1112「安全なウェブサイトの作り方 改訂第 3 版」P.25 の 8)を参照。
「安全なウェブサイトの作り方 改訂第 3 版」P.25 の 7)を参照。

5

3.3 ウェブサイトの脆弱性で 90 日以上対策が未完了のものは 108 件
IPA は、ウェブサイト運営者から脆弱性対策の返信がない場合、脆弱性が攻撃された場合の脅威を丁寧に解説するなど、1～2 カ月毎にメールや郵送手段などで脆弱性対策を促しています。また、今四半期は、特に修正が長期化しているウェブサイト運営者に面会するなど、更に脆弱性対策を促しました。
この結果、ウェブサイトの脆弱性で 90 日以上も対策が完了していないものは、前四半期から 21 件減少しました。しかし、今四半期で新たに 34 件が 90 日以上となったため、13 件増加し累計で 108 件（前四半期は95 件）となりました。また、300 日以上も対策が完了していないものが 14 件増加し累計で 53 件（前四半期は39 件）となりました（図 9）。
ウェブサイトの情報が盗まれてしまう可能性のある SQL インジェクションのように、深刻度の高い脆弱性でも修正が長期化しているものがあります。ウェブサイト運営者は脆弱性を攻撃された場合の脅威を認識し、早期に対策を講じる必要があります。

60

その他

50

SQLインジェクション

40

クロスサイト・スクリプティング

30

累計件数（右目盛）

件
数 20
10
0

5
5

7
11

108

12

20

100

74
53
32
25

21

1
7

80
8

2
13

120

11

15
3
4
13
1
3
1
4
1
6
3
2
2
1
1000日 999～ 899～ 799～ 699～ 599～ 499～ 399～ 299～ 199～
以上 900日 800日 700日 600日 500日 400日 300日 200日 90日

累
計
40 件
20 数
60

0

図９．修正が長期化しているウェブサイトの未修正の経過日数と脆弱性の種類■ 本件に関するお問い合わせ先
独立行政法人 情報処理推進機構 セキュリティセンター 山岸／渡辺
Tel: 03-5978-7527 Fax: 03-5978-7518

E-mail: vuln-inq@ipa.go.jp

有限責任中間法人 JPCERT コーディネーションセンター 情報流通対策グループ
Tel: 03-3518-4600 Fax: 03-3518-4602

E-mail: office@jpcert.or.jp■ 報道関係からのお問い合わせ先
独立行政法人 情報処理推進機構 戦略企画部広報グループ 横山
Tel: 03-5978-7503 Fax: 03-5978-7510

E-mail: pr-inq@ipa.go.jp

有限責任中間法人 JPCERT コーディネーションセンター 経営企画室 広報 江田
Tel: 03-3518-4600 Fax: 03-3518-4602

6

E-mail: pr@jpcert.or.jp

古田

別紙

1. ソフトウェア製品の脆弱性の処理状況の詳細

1.1 ソフトウェア製品の脆弱性の処理状況
ソフトウェア製品の脆弱性関連情報の届出について、処理状況を図 1-1 に示します。今四半期に公表した脆弱性は、19 件（累計 261 件）です。また、「不受理」としたものは 12 件（累計99 件）です。
取扱い終了：284件
2007年
3月末

170

75

10 29

(括弧内の数値は、今四半期に合計： 「公表」「個別対応」「脆弱性では465件 ない」と判断されたものの件数)

181

311件
2007年
6月末

193

79

10 29

200

合計：511件

331件
2007年
9月末

211

79

12 29

229

合計：560件

372件
2007年
12月末

242

87

12 31

254

合計：626件

405件(33件)
2008年
3月末

公表済み 261 (19)

14 31

不受理

(2) (0)

合計：679件取扱い中 274

99 (12)

個別対応 脆弱性ではない

0

100

200

300

400

500

600

700

公表済み:

JVN で脆弱性への対応状況を公表したもの

個別対応:

製品開発者からの届出のうち、製品開発者が個別対応したもの

脆弱性ではない:

製品開発者により脆弱性ではないと判断されたもの

不受理:

告示で定める届出の対象に該当しないもの

取扱い中:

製品開発者が調査、対応中のもの

800

図 1-1.ソフトウェア製品 各時点における脆弱性関連情報の届出の処理状況

1.2 届出られた製品の種類
届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報 679
件のうち、不受理のものを除いた 580 件の製品種類別の内訳を図 1-2 に示します。
図 1-2 に示すように、IPA に届出があった脆弱性には、「ウェブアプリケーションソフト」に関するものが多くあります。
9%
2%
2%
2%
2%
2%
3%

37% (39%)

3%
3%
3%
4%
(3%)
12% (12%)8%(8%)
8%(9%)

ウェブアプリケーションソフト
ウェブブラウザ
グループウェア
アプリケーション開発・実行環境
ウェブサーバメールソフトルータ
アンチウイルスソフト
システム管理ソフト
検索システム
ファイル管理ソフト
OS
周辺機器
ワープロソフトその他(580件の内訳、グラフの括弧内は前四半期の数字)※その他には、携帯機器、情報家電、IP電話、データベース、プロキシなどがあります。

図1-2.ソフトウェア製品の脆弱性 製品種類別内訳(届出受付開始から2008年3月末まで)

1

図 1-3 にオープンソースソフトウェアとそれ以外のソフトウェアの脆弱性の届出件数の推移を示します。
2005 年第 3 四半期以降、オープンソースソフトウェアの届出が増加し、今四半期も 11 件の届出がありました。
120
オープンソースソフトウェア

それ以外

100
33
80
60

9
52

40
20
0

74
15
1
15

1
11

4
9

3Q
2004

4Q

1Q
2005

2
16

12
11

19

2Q

3Q

4Q

19

10
14
1Q
2006

20

14

2Q

3Q

4Q

19

11

25

25

33

1Q
2007

2Q

3Q

9

11
52

図1-3.オープンソースソフトウェアの脆弱性の届出件数

34

4Q

1Q
2008

(580件の内訳)

1.3 脆弱性の原因と脅威
届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報 679
件のうち、不受理のものを除いた 580 件の原因別の内訳を図 1-4 に、原因別の届出件数の推移を図 1-5に、脅威別の内訳を図 1-6 に示します。
図 1-4 に示すように、脆弱性の原因は「ウェブアプリケーションの脆弱性」が最多であり、図 1-6 に示す
ように、脅威についても「任意のスクリプト実行」が最多となっています。これは、「ウェブアプリケーションソ
フト」以外のソフトウェア製品であっても、ウェブブラウザから管理、使用するものが多くあり、そこに脆弱性が存在するためで、この傾向は図 1-5 に示すように、届出受付開始から続いています。

ウェブアプリケーションの脆弱性

5%バッファのチェックの不備

13%
62%
2%
2%
3%
(3%)
3%
(3%)
3%

(63%
)

仕様上の不備
ファイルのパス名、内容のチェックの不備
セキュリティコンテキストの適用の不備
アクセス制御の不備証明書の検証に関する不備

(4%)
7%

その他実装上の不備
その他ウェブに関連する不備(6%)(580件の内訳、グラフの括弧内は前四半期の数字)

図1-4.ソフトウェア製品の脆弱性 原因別内訳(届出受付開始から2008年3月末まで)

2

その他ウェブに関連する不備

120

その他実装上の不備
証明書の検証に関する不備

100

アクセス制御の不備
セキュリティコンテキストの適用の不備

80

ファイルのパス名、内容のチェックの不備
仕様上の不備

60

バッファのチェックの不備
ウェブアプリケーションの脆弱性

40
20
0
3Q
2004

4Q

1Q
2005

2Q

3Q

4Q

1Q
2006

2Q

3Q

4Q

1Q
2007

2Q

3Q

4Q

1Q
2008

図1-5. ソフトウェア製品の脆弱性 原因別内訳 (届出受付開始から2007年3月末まで)

2%
2%
3%
3%

1%

1% 4%
1%

3%
4%

47%
(49%)

6%
(5%)
7%
(7%)
7%
(6%)

9% (9%)

任意のスクリプトの実行
情報の漏洩
任意のコードの実行
なりすまし
サービス不能任意のコマンドの実行
任意のファイルへのアクセス
認証情報の漏洩
アクセス制限の回避
通信の不正中継アプリケーションの異常終了
セッション・ハイジャック
証明書等の確認不能
資源の枯渇
その他

(580件の内訳、グラフの括弧内は前四半期の数字)

図1-6. ソフトウェア製品の脆弱性 脅威別内訳 (届出受付開始から2008年3月末まで)

1.4 ソフトウェア製品の脆弱性情報の調整および公表状況
JPCERT/CC は、表 1-1 に示す 2 種類の脆弱性関連情報について、日本国内の製品開発者等の関係者との調整、および海外 CSIRT13 の協力のもと、海外の製品開発者との調整を行っています。これらの脆弱性関連情報に対する製品開発者の対応状況は、IPA と JPCERT/CC が共同運営している脆弱性対策情報ポータルサイト JVN（Japan Vulnerability Notes）において公表しています（URL：
http://jvn.jp/ ）表 1-1．脆弱性関連情報の提供元別 脆弱性公表件数
情報提供元
今期
累計
国内の発見者から IPA に届出があったもの、および、製品開発者自身
19 件 261 件①
から自社製品の脆弱性、対策方法について連絡を受けたもの② 海外 CSIRT 等と連携して公表したもの
24 件 327 件
計43 件 588 件

13

CSIRT（Computer Security Incident Response Team）は、コンピュータセキュリティに関するインシデント（事故）への対応や調整、サポートをするチームのことです。

3

（1）国内の発見者および製品開発者から届出があり公表した脆弱性
届出受付開始から 2008 年 3 月末までの届出について、脆弱性関連情報の届出（表 1-1 の①）を受理してから製品開発者が対応状況を公表するまでに要した日数を図 1-7 に示します。届出受付開始から各四半期末までの 45 日以内に公表される件数が 33%と減少し、公表日数が増加する傾向にあります。製品開発者は脆弱性への早急な対応をお願いします。
45 日以内の公表件数の割合
2007/3Q まで
2007/4Q まで
36%
34%

33% (45日以内の公表)

全体（261件)

17件 21件 21件

26件

81件

10%

20%

30%

60件

46～100日

21～30日～10日
31～45日11～20日0%

2008/1Q まで
33%

101～200日

40%

50%

60%

70%

80%

14件 21件
201～300日
301～日

90%

100%

図1-7. ソフトウェア製品の脆弱性公表日数
表 1-2 に、国内の発見者、製品開発者から届出を受け、今四半期に公表した脆弱性を示します。オー
プンソースソフトウェアに関して開発者、開発コミュニティに通知し公表したものが 4 件（表 1-2 の*1）、製品開発者自身から自社製品に関する脆弱性対策情報について連絡を受け公表したものが 2 件（表 1-2の*2）、複数の製品開発者のソフトウェア製品に影響がある脆弱性が 1 件（表 1-2 の*3）あり、組込みソフト
ウェア製品の脆弱性が 3 件（表 1-2 の*4）ありました。
表 1-2.2008 年第 1 四半期に JVN で公表した脆弱性
項番

未対策状態でのセキュリティ上の問題点

脆弱性

JVN
CVSS
公表日 基本値

脆弱性の深刻度=レベル III（危険）、CVSS 基本値=7.0～10.0
アイ・オー・データ アイ・オー・データ製無線 LAN ルータ「WN-APG/R シ
製無線 LAN ルータ リーズおよび WN-WAPG/R シリーズ」には、認証なしで
WN-APG/R シリー 管理画面を操作される脆弱性が存在しました。このた2008 年
1 ズおよびめ、第三者により当該製品の設定を変更されたり設定情3 月 18(*4) WN-WAPG/R シリ 報が読みだされる可能性がありました。
日ーズにおける初期
設定に関する脆弱性

7.5

脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.0～6.9
ジャストシステムが提供する複数の製品には、バッファ
オーバーフローの脆弱性が存在しました。このため、ウ 2008 年
ェブサイトを閲覧するだけで、利用者のコンピュータ上 1 月 7 日
で任意のコードを実行される可能性がありました。

6.8

複数のヤマハルー ヤマハが提供する複数のルーター製品のウェブ設定画
3 ター製品における 面には、クロスサイト・リクエスト・フォージェリの脆 2008 年(*3) クロスサイト・リク 弱性が存在しました。ウェブ設定画面にログインした状 1 月 28(*4) エスト・フォージェ 態で悪意あるページにアクセスした場合、パスワードな 日
リの脆弱性
どの設定が変更される可能性がありました

4.0

2

複数のジャストシ
ステム製品におけるバッファオーバ
ーフローの脆弱性

4

項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN
CVSS
公表日 基本値

4

複数の Hal Networks 「複数の Hal Networks 製ショッピングカート製品」には、製ショッピングカ ウェブページを出力する際のエスケープ処理に漏れが2008 年
ート製品における ありました。このため、第三者によりウェブページにス
1 月 28
クロスサイト・スク クリプトを埋め込まれる可能性がありました。
日
リプティングの脆
弱性

4.3

5

「雷電 HTTPD」に ウェブサーバ「雷電 HTTPD」には、クロスサイト・ス
おけるクロスサイ クリプティングの問題がありました。このため、第三者 2008 年
ト・スクリプティン によりウェブページにスクリプトを埋め込まれる可能 2 月 5 日
グの脆弱性性がありました。

4.3

6

携帯電話端末のウェブブラウザ向けにウェブページや「PC2M」における画像などを閲覧できるように変換するソフト「PC2M」
クロスサイト・スク
2008 年には、ウェブページを出力する際のエスケープ処理に漏リプティングの脆
2月7日
れがありました。このため、第三者によりウェブページ
弱性にスクリプトを埋め込まれる可能性がありました。

4.3「Apache Tomcat」に The Apache Software Foundation が 提 供 す る 「 Apache2008 年
7 おいて不正なTomcat」には、不正な Cookie を送信される脆弱性が存在
2 月 12(*1) Cookie を送信され しました。このため、セッション・ハイジャックなどが日る脆弱性行われる可能性がありました。

4.3

8「Internet Scanner」のレポート出力機能において任意のスクリプトが実行される脆弱性

脆弱性検査・監査ソフト「Internet Scanner」には、検査結果のレポートを出力する際の処理に問題がありまし 2008 年
た。このため、第三者により意図しないスクリプトが実 2 月 21
行される可能性がありました。
日

9

複数の Tor World 製 ウェブサイトの検索や掲示板などのソフトである「複数CGI スクリプトにお の Tor World 製 CGI スクリプト」には、ウェブページを 2008 年
けるクロスサイ出力する際のエスケープ処理に漏れがありました。この 2 月 21
ト・スクリプティン ため、第三者によりウェブページにスクリプトを埋め込 日
グの脆弱性
まれる可能性がありました。

4.3「Nagios」における 稼働監視ソフト「Nagios」には、ウェブページを出力す2008 年
10 クロスサイト・スク る際のエスケープ処理に漏れがありました。このため、
2 月 29(*1) リプティングの脆 第三者によりウェブページにスクリプトを埋め込まれ日
弱性る可能性がありました。

4.3

複数のキヤノン製 「複数のキヤノン製デジタル複合機、およびレーザービ
デジタル複合機、お ームプリンター」には、FTP サーバ機能に問題がありま
11 よびレーザービー した。このため、該当製品の FTP サーバ機能が他のネッ2008 年(*2) ムプリンターにお トワーク機器のポートスキャンに利用される可能性が3月5日(*4) いて不正なポート ありました。
スキャンの中継が行われる脆弱性

5.0「Zimbra Collabora- 予定表、アドレス帳およびウェブメール機能等を提供すtion Suite」において るウェブコラボレーションソフト「Zimbra Collaboration
122008 年
任意のスクリプト Suite」には、画像を表示する際の処理に漏れがありまし
(*1)
3月7日
が実行される脆弱 た。このため、第三者によりウェブページにスクリプト
性を埋め込まれる可能性がありました。

4.3

5

5.8

項番

未対策状態でのセキュリティ上の問題点

脆弱性

JVN
CVSS
公表日 基本値

13

ファイルのアップロード・ダウンロード機能の ActiveX「BFup ActiveX コ
コントロール「BFup ActiveX コントロール」には、バッントロール」におけ2008 年
ファオーバーフローの脆弱性が存在しました。このたるバッファオーバ
3月7日
め、利用者のコンピュータ上で任意のコードを実行されーフローの脆弱性
る可能性がありました。

6.8

14

Sun JRE(Java Runtime Environment)の
XSLT 処理における脆弱性

Java プログラムのソフトウェア実行環境「Sun JRE(Java
Runtime Environment)」の XSLT 処理には、許可されてい2008 年る以上の権限で処理が行える脆弱性が存在しました。こ
3 月 11のため、第三者によりローカルファイルを閲覧された
日
り、任意のコードを実行されたり、不正終了によりウェ
ブブラウザを終了されたりする可能性がありました。

6.8「Namazu」における 日本語全文検索ソフト「Namazu」には、クロスサイト・
15
2008 年
クロスサイト・スク スクリプティングの問題がありました。このため、第三(*1)
3 月 21
リプティングの脆 者によりウェブページにスクリプトを埋め込まれる可
(*2)
日
弱性
能性がありました。

4.3

16「DesignForm」にお メールフォームソフト「DesignForm」には、ウェブペー
2008 年
けるクロスサイジを出力する際のエスケープ処理に漏れがありました。
3 月 27
ト・スクリプティン このため、第三者によりウェブページにスクリプトを埋日
グの脆弱性
め込まれる可能性がありました。

4.3

17

「PerlMailer」におけ メールフォームソフト「PerlMailer」には、ウェブページ
2008 年るクロスサイト・ス を出力する際のエスケープ処理に漏れがありました。こ3 月 27
クリプティングの のため、第三者によりウェブページにスクリプトを埋め日
脆弱性
込まれる可能性がありました。

4.3

脆弱性の深刻度=レベル I（注意）、CVSS 基本値=0.0～3.9

18「MTCMS ウィジウ ブログ管理ソフト「MTCMS ウィジウィグエディター」
ィグエディター」に には、ウェブページを出力する際のエスケープ処理に漏2008 年
おけるクロスサイ れがありました。このため、第三者によりウェブページ
3月7日
ト・スクリプティン にスクリプトを埋め込まれる可能性がありました。
グの脆弱性

2.6

19

「Google デスクト コンピュータ内の情報検索ソフト「Google デスクトッ
2008 年ップ」におけるクロ プ」には、ウェブページを出力する際のエスケープ処理
3 月 12
スサイト・スクリプ に漏れがありました。このため、第三者によりウェブペ
日ティングの脆弱性 ージにスクリプトを埋め込まれる可能性がありました。

2.6(*1)：オープンソースソフトウェア製品の脆弱性(*2)：製品開発者自身から届出られた自社製品の脆弱性(*3)：複数開発者・製品に影響がある脆弱性(*4)：組込みソフトウェアの脆弱性

6

（2）海外 CSIRT 等と連携して公表した脆弱性
JPCERT/CC が海外 CSIRT 等と連携して公表した脆弱性 24 件には、通常の脆弱性情報 12 件（表 1-3）と、対応に緊急を要する Technical Cyber Security Alert（表 1-4）の 12 件とが含まれます。これらの脆弱性
情報は、通常関連する登録済み製品開発者へ通知したうえ、JVN に掲載しています。
表 1-3.米国 CERT/CC14等と連携した脆弱性関連情報および対応状況
項
番

脆弱性

対応状況

1

Apple QuickTime RTSP の Response message に含まれる Reason-Phrase
注意喚起として掲載処理にバッファオーバーフローの脆弱性

2

Citrix Presentation Server におけるバッファオーバーフローの脆弱性

3

GE Fanuc Proficy Information Portal が任意のファイルをアップロードおよ
注意喚起として掲載
び実行を許可する問題

4

GE Fanuc CIMPLICITY HMI にヒープバッファオーバーフローの脆弱性

注意喚起として掲載

5

GE Fanuc Proficy Information Portal が認証情報を平文で送信する問題

注意喚起として掲載

6

ネットワーク機器において UPnP が有効になっている場合の問題

複数製品開発者へ通知

7

Yahoo! Music Jukebox Yahoo! MediaGrid ActiveX コントロールにおけるバ
注意喚起として掲載
ッファオーバーフローの脆弱性

8Yahoo! Music Jukebox YMP Datagrid ActiveX コントロールにおけるバッフ
注意喚起として掲載
ァオーバーフローの脆弱性

9KAME プロジェクトの IPv6 スタックにおける IPComp パケットの処理にサ複数製品開発者へ通知
ービス運用妨害(DoS)の脆弱性

10

Adobe Reader および Adobe Acrobat の JavaScript メソッドにおけるバッ
注意喚起として掲載
ファオーバーフローの脆弱性

11

Samba send_mailslot() におけるバッファオーバーフローの脆弱性

注意喚起として掲載

12

Microsoft Jet Database Engine におけるバッファオーバーフローの脆弱性

緊急案件として掲載

注意喚起として掲載

表 1-4.米国 US-CERT15と連携した脆弱性関連情報および対応状況
項番

脆弱性

1

Microsoft 製品における複数の脆弱性に対するアップデート

2

Apple Quicktime における複数の脆弱性に対するアップデート

3Oracle 製品における複数の脆弱性に対するアップデート

4

Microsoft 製品における複数の脆弱性

5Apple 製品における複数の脆弱性

6

Adobe Reader および Adobe Acrobat における脆弱性

7

Java における複数の脆弱性に対するアップデート

8

Microsoft 製品における複数の脆弱性に対するアップデート

9

MIT Kerberos の複数の脆弱性に対するアップデート

10

Apple 製品における複数の脆弱性に対するアップデート

11

Mozilla 製品における複数の脆弱性に対するアップデート

12

Cisco 製品における複数の脆弱性に対するアップデート

14

CERT/Coordination Center。1998 年のウイルス感染事件を契機に米国カーネギーメロン大学に設置された CSIRT。
15
United States Computer Emergency Readiness Team。米国の政府系 CSIRT。
7

2. ウェブサイトの脆弱性の処理状況の詳細

2.1 ウェブサイトの脆弱性の処理状況
ウェブサイトの脆弱性関連情報の届出について、処理状況を図 2-1 に示します。
図 2-1 に示すように、ウェブサイトの脆弱性について、今四半期中に処理を終了したものは 78 件（累計 1,040 件）でした。このうち、「修正完了」したものは 67 件（累計 815 件）、ウェブサイト運営者により「脆弱性ではない」と判断されたものは 9 件（累計 140 件）でした。なお、メールでウェブサイト運営者と連絡が取れない場合は、電話や郵送手段で連絡を試みたり、レンタルサーバ会社と連絡を試みたりしていますが、それでも、ウェブサイト運営者から回答がなく「取扱い不可能」なものは 0 件(累計 7 件)です。「不受理」としたものは 2 件（累計 78 件）でした。
取扱いを終了した累計 1,040 件のうち、「連絡不可能」「不受理」を除く累計 955 件（92%）は、指摘した点が解消されていることが、ウェブサイト運営者により報告されています。
「修正完了」したものうちのウェブサイト運営者からの依頼を受け、当該脆弱性が適切に修正されたかど
うかを IPA が確認したものは 4 件（累計 128 件）、ウェブサイト運営者が当該ページを削除することにより対応したものは 3 件（累計 68 件）、ウェブサイト運営者が運用により被害を回避しているものは 0 件（累計 19 件）でした。
取扱い終了: 696件
2007年
3月末

78 1362543

149(括弧内の数字は、今四半期に「修正完了」「脆弱性ではない」と判断されたもの等の件数)

合計845件

792件
2007年
6月末

87 7 69629

148

合計940件

845件
2007年
9月末

111 7 72655

198

合計1,043件

962件
2007年
12月末

131 7 76748
1,040件(78件)

2008年
3月末

内容確認済

修正完了

128(4)

815 (67)100

300

合計1,123件

連絡不可能内該当ページ
を削除

68(3)

内運用で
回避

19(0)

500

700

取扱い中

140 7 78327(9) (0) (2)

脆弱性ではない

‐100

161

900

不受理

1100

1300

修正完了
確認済
当該ページを削除
運用で回避
脆弱性ではない
連絡不可能
不受理： ウェブサイト運営者により脆弱性が修正されたもの：
修正完了のうち、IPA が修正を確認したもの：
修正完了のうち、当該ページを削除して対応したもの：
修正完了のうち、運用により被害を回避しているもの： ウェブサイト運営者により脆弱性はないと判断されたもの： ウェブサイト運営者からの回答がなく、取扱いができないもの： 告示で定める届出の対象に該当しないもの

取扱い中： ウェブサイト運営者が調査、対応中のもの

図 2-1.ウェブサイト各時点における脆弱性関連情報の届出の処理状況

8

合計
1,367件1500

2.2 ウェブサイトの脆弱性の種類と脅威届出受付開始から今四半期末までに IPA に届出られたウェブサイトの脆弱性関連情報 1,367 件のうち、不受理のものを除いた 1,289 件について、種類別内訳を図 2-2 に、種類別の届出件数の推移を図
2-3 に、脅威別内訳を図 2-4 に示します16。

1%
2%

1%

1%

クロスサイト・スクリプティング

7%

SQLインジェクション
ファイルの誤った公開

2%
2%
2%
2%
2% (2%)DNS情報の設定不備
パス名パラメータの未チェック
HTTPレスポンス分割

47%

(3%)
5%

(43%)

(5%)

ディレクトリ・トラバーサル
セッション管理の不備
メールの第三者中継
価格等の改ざん
認証に関する不備
クロスサイト・リクエスト・フォージェリ
その他

26%

(1289件の内訳、グラフの括弧内は前四半期の数字)(28%)

図2-2.ウェブサイトの脆弱性 種類別内訳 (届出受付開始から2008年3月末まで)

250
その他
クロスサイト・リクエスト・フォージェリ
認証に関する不備

200

価格等の改ざん
メールの第三者中継

150

セッション管理の不備
ディレクトリ・トラバーサル
HTTPレスポンス分割

100

パス名パラメータの未チェック
DNS情報の設定不備

50

ファイルの誤った公開
SQLインジェクション
クロスサイト・スクリプティング

0

2004

2005

2006

2007

2008

3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q

図2-3.ウェブサイトの脆弱性 種類別件数の推移 (届出受付開始から2008年3月末まで)

16

それぞれの脆弱性の詳しい説明については付表 2 を参照してください。

9

4%

2%
2%
2%

2%

1%

2%

本物サイト上への偽情報の表示
データの改ざん、消去
Cookie情報の漏洩

5%
(6%)

33%
(29%)

個人情報の漏洩
サーバ内ファイルの漏洩
なりすまし

9%
(11%)

ドメイン情報の挿入
メールシステムの不正利用
ウェブキャッシュ情報のすり替え
踏み台

13%
(14%)

25%
(26%)

利用者のセキュリティレベルの低下
その他(1289件の内訳、グラフの括弧内は前四半期の数字)

図2-4.ウェブサイトの脆弱性 脅威別内訳 (届出受付開始から2008年3月末まで)
今四半期も「クロスサイト・スクリプティング」が多く届出られ（図 2-3）、脆弱性の種類は「クロスサイト・スク
リプティング」「SQL インジェクション」が全体の 7 割以上をしめます（図 2-2）。
また「クロスサイト・スクリプティング」や「SQL インジェクション」の脅威である、「本物サイト上への偽情報の表示」「Cookie 情報の漏洩」「データの改ざん、消去」が約 7 割をしめています（図 2-4）。
ウェブサイト運営者は、引き続き脆弱性を作りこまないように注意してください。

2.3 ウェブサイトの脆弱性の修正状況
届出受付開始から 2008 年 3 月末までの届出の中で、実際にウェブアプリケーションを修正したものについて、ウェブサイト運営者に脆弱性の詳細情報を通知してから修正されるまでに要した日数およびその傾向を、脆弱性の種類別に図 2-5 および図 2-6 に示します。全体の 53%の届出が 30 日以内、全体の77%の届出が 90 日以内に修正されています。
90 日以内の修正件数の割合
2007/2Q まで 2007/3Q まで
79%
79%

2007/4Q まで
78%

2008/1Q まで
77%

77%(90日以内の修正)
クロスサイト・スクリプティング(387件)
SQLインジェ クショ ン(135件)
DNS情報の設定不備(28件)
ファ イルの誤った公開(25件)
HTTPレスポンス分割(23件)
ディレクトリ・トラバーサル(13件)
セッショ ン管理の不備(12件)
メールの第三者中継(9件)
クロスサイト・リクエスト・フォージェ リ(8件)
HTTPSの不適切な利用(8件)
その他(53件)

100
90
80
70
60
50
40
30
20
10
0
当日

1日

2日

3日

4日
6日
11日
21日
31日
51日
91日 201日 301日～～5日 ～10日 ～20日 ～30日 ～50日 ～90日 ～200日～300日

図2-5.ウェブサイトの修正に要した日数

10クロスサイト・スクリプティング(387件)
SQLインジェクション(135件)
DNS情報の設定不備(28件)
ファイルの誤った公開(25件)
HTTPレスポンス分割(23件)
ディレクトリ・トラバーサル(13件)
セッション管理の不備(12件)
メールの第三者中継(9件)
クロスサイト・リクエスト・ フォー ジェリ(8件)
HTTPSの不適切な利用(8件)
その他(53件)～10日

11日～20日

0%

20%

40%

21日～30日

31日～50日

51日～90日

60%
91日～200日

80%
201日～300日

100%
301日～

図2-6.ウェブサイトの修正に要した日数の傾向

3. 関係者への要望
脆弱性の修正を促進していくための、各関係者への要望は以下のとおりです。

(1)ウェブサイト運営者
多くのウェブサイトのソフトウェアに脆弱性が発見されています。自身のウェブサイトでどのようなソフトウ
ェアを利用しているかを把握し、セキュリティ対策を実施することが必要です。
なお、脆弱性の理解にあたっては、以下のコンテンツが利用できます。
「知っていますか？脆弱性（ぜいじゃくせい）」：http://www.ipa.go.jp/security/vuln/vuln_contents/(2)製品開発者
JPCERT/CC は、ソフトウェア製品の脆弱性関連情報について、「製品開発者リスト」に基づき、一般公表日の調整等を行います。迅速な調整を進められるよう、「製品開発者リスト」への登録を求めます（URL：http://www.jpcert.or.jp/vh/）。また、製品開発者自身で脆弱性を発見、修正された場合も、利用者への対策情報の周知のために JVN を活用できます。JPCERT/CC もしく
は IPA への連絡を求めます。

(3)一般インターネットユーザ
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がけていただくことが必要です。脆弱性があるソフ
トウェアを使い続けることは避けなければなりません。

(4)発見者
脆弱性関連情報の適切な流通のため、届出られた脆弱性関連情報は、脆弱性が修正されるまでの期
間は第三者に漏れぬよう、適切に管理されることを要望します。

11

付表 1. ソフトウェア製品 脆弱性の原因分類
脆弱性の原因説明

届出において想定された脅威

設定情報の漏洩通信の不正中継アクセス制御を行うべき個所において、アクなりすまし
セス制御が欠如している
任意のスクリプトの実行
認証情報の漏洩1

アクセス制御の不備

2

アクセス制限の回避
価格等の改ざん
サービス不能
資源の枯渇
ウェブアプリケーションに対し、入力された情 重要情報の漏洩
報の内容の解釈や認証情報の取扱い、出 情報の漏洩
ウェブアプリケーショ
力時の処理に問題がある。「クロスサイト・ス セッション・ハイジャック
ンの脆弱性
クリプティング」攻撃や「SQL インジェクショ 通信の不正中継ン」攻撃などに利用されてしまう
なりすまし
任意のコマンドの実行
任意のスクリプトの実行
任意のファイルへのアクセス
認証情報の漏洩3

仕様上の不備4

ウェブブラウザやメールクライアントソフトに証明書の検証に関す 証明書を検証する機能が実装されていな 証明書の確認不能
る不備い、または、検証が正しく行われずに、偽の なりすまし
証明書を受けいれてしまう

5

アプリケーションの異常終了
本来、厳しい制限のあるセキュリティコンテキ
セキュリティコンテキ
情報の漏洩
ストで取り扱うべき処理を、緩い制限のセキストの適用の不備
任意のコードの実行ュリティコンテキストで処理してしまう
任意のスクリプトの実行

6

想定外の長さの入力が行われた場合に、長サービス不能バッファのチェックの さをチェックせずバッファに入力してしまう。
任意のコードの実行不備「バッファオーバーフロー」攻撃に利用され任意のコマンドの実行
てしまう。

7

処理の際のパラメータとして指定されている
ディレクトリ名やファイル名、ファイルの内容 アプリケーションの異常終了をチェックしていない。任意のディレクトリの サービス不能
ファイルのパス名、内ファイルを指定できてしまい、「ディレクトリ・ト 資源の枯渇
容のチェックの不備
ラバーサル」攻撃に利用されてしまう。また、 任意のファイルへのアクセス破損したファイルや不正に書き換えられたフ 認証情報の漏洩
ァイルを処理した際に不具合が生じる

RFC 等の公開された規格に準拠して、設サービス不能計、実装した結果、問題が生じるもの。プロト
資源の枯渇
コル上の不備がある場合、ここに含まれる

12

付表 2 ウェブサイト脆弱性の分類
脆弱性の種類

深刻度

説明

届出において想定された脅威高個人情報の漏洩
一般に公開すべきでないファイルが公開され サーバ内ファイルの漏洩ており、自由に閲覧できる状態になっている
データの改ざん、消去
なりすまし

2

パス名パラメータの未チェック

高ユーザからの入力を処理する際のパラメータとして指定されているファイル名を、ユーザが変サーバ内ファイルの漏洩
更し、ウェブサーバ上の任意のディレクトリのファイルを指定できてしまう

3

ディレクトリ･トラバーサル

高ウェブサーバ上のディレクトリのアクセス権を超
個人情報の漏洩
えて、本来許可されている範囲外のディレクトリ
サーバ内ファイルの漏洩にアクセスできる4

セッション管理の不備高セッション管理に、推測可能な情報を使用してCookie 情報の漏洩いるため、他のユーザの情報が容易に推測で個人情報の漏洩き、他のユーザになりすまして、サービスを利なりすまし用することができる

5

SQL インジェクション

高入力フォームなどへ SQL コマンド（データベー 個人情報の漏洩
スへの命令）を入力し、データベース内の情報 サーバ内ファイルの漏洩の閲覧、更新、削除などができる
データの改ざん、消去

6

DNS 情報の設定不備

高DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名の持ち主であ ドメイン情報の挿入
るかのようにふるまえてしまう中

外部の第三者により、他のサーバへのアクセスを中継するサーバとして利用され、不正アクセ
踏み台スなどの際にアクセス元を隠すための踏み台にされてしまう中

Cookie 情報の漏洩
サーバ内ファイルの漏洩
ユーザの Cookie 情報を知らないうちに転送さ個人情報の漏洩せたり、偽の情報を表示させたりするような罠
データの改ざん、消去のリンクをユーザにクリックさせ、個人情報等をなりすまし盗むことができる
本物サイト上への偽情報の表示

中

ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそかにアクセスさデータの改ざん、消去
せ、登録情報の変更や商品の購入をさせるこ
とができる

中

攻撃者がユーザに対し、悪意のある要求をウェブサーバに送信するように仕向けることで、
ウェブキャッシュ情報のすウェブサーバからの応答を分割させて応答内り替え
容をすり替え、ユーザに対して偽のページを表示させることができる

中

ユーザに対し、ソフトウェアをインストールさせたり、ブラウザのセキュリティレベルを下げるよう 利用者のセキュリティレベ
指示することでクライアント PC のセキュリティ設 ルの低下
定を低下させる中

ウェブサーバに設置したリダイレクタが悪意あ踏み台るリンクへの踏み台にされたり、そのウェブサイ
本物サイト上への偽情報
ト上で別のサイト上のページを表示させられて
の表示
しまう

1

ファイルの誤った公開7

オープンプロキシ

8

クロスサイト･
スクリプティング

9

クロスサイト・リクエ
スト・フォージェリ

10

HTTP レスポンス分
割

セキュリティ設定の11
不適切な変更リダイレクタの不適
12
切な利用

13

脆弱性の種類
フィルタリングの回
13
避OS コマンド・インジ
14
ェクション

メールの第三者中
15
継16

HTTPS の 不 適 切
な利用

17 価格等の改ざん

深刻度

届出において想定された脅威説明中

ウェブサイトのサービスやブラウザの機能として利用者のセキュリティレベ
提供されているフィルタリング機能が回避されルの低下る問題。これにより、本来制限されるはずのウ
なりすましェブページを閲覧してしまう

中

攻撃者がウェブアプリケーションを介してウェブサーバの OS コマンドを実行できてしまい、
任意のコマンドの実行
サーバ内ファイルの閲覧やシステム操作、不正なプログラムの実行などを行われてしまう

低利用者が入力した内容を管理者が指定したメールアドレスに送信する機能で、外部の利用 メールシステムの不正利者が宛先メールアドレスを自由に指定できてし 用
まい、迷惑メール送信の踏み台に悪用される

低

HTTPS による暗号化をしているが、暗号の選択や設定が十分でなかったり、ウェブサイトでのユーザへの説明に間違いがある、または、ウ なりすましェブサイトの設計上、ユーザから証明書が確認できない

低

ショッピングサイトにおいて、価格情報等が利用者側で書き換えられる。書き換えによる被害 データの改ざん
は、ウェブサイト側に限定される: Request For Comments: Application Program Interface

・RFC

・CGI

: Common Gateway Interface

・SQL: Structured Query Language

・DNS: Domain Name System

・SSI: Server Side Include

・HTTP: Hypertext Transfer Protocol

・SSL: Secure Socket Layer

・HTTPS: Hypertext Transfer Protocol Security

・TCP: Transmission Control Protocol

・URI: Uniform Resource Identifier・URL: Uniform Resource Locator・API・ISAKMP : Internet Security Association
・MIME

Key Management Protocol: Multipurpose Internet Mail Extension

付図１．「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み）
脆弱性関連情報流通体制

ユーザ
ユーザー
脆弱性関連
情報届出

ソフトウェア
製品の脆弱性

脆弱性関連
情報通知

脆弱性関連情報の報告された脆弱性
内容確認・検証
関連情報の内容確認

発見者
W e b サイトの脆弱性

受付・分析機関
受付機関
報告された

調整機関

ソフト
開発者等

分析支援機関【期待効果】

脆弱性対策情報ポータル

公表日の決定、
海外の調整機関
との連携等

対応状況等
対応状況
対策方法等
公表公表

システム導入
支援者等

政府
企業
個人

セキュリティ対策推進協議会等

分析機関
脆弱性関連
情報届出

対策情報ポータル

対応状況の集約、
公表日の調整等

産総研など報告された脆弱性
脆弱性関連情報通知
脆弱性関連情報通知
関連情報の検証W e b サイト運営者

Webサイト運営者
検証、対策実施
検証、対策実施

個人情報の漏えい時は事実関係を公表
個人情報漏洩時は事実関係を公表①製品開発者及びウェブサイト運営者による脆弱性対策を促進②不用意な脆弱性関連情報の公表や脆弱性の放置を抑制③個人情報等重要情報の流出や重要システムの停止を予防※IPA：独立行政法人 情報処理推進機構、JPCERT/CC：有限責任中間法人 JPCERT コーディネーションセンター、産総研：独立行政法人 産業技術総合研究所

14