プレスリリース
200７年 7 月 19 日
独立行政法人 情報処理推進機構
有限責任中間法人 JPCERT コーディネーションセンター

ソフトウェア等の脆弱性関連情報に関する届出状況 [2007 年第 2 四半期（4 月〜6 月）]
独立行政法人 情報処理推進機構（略称：IPA、理事長：藤原 武平太）および有限責任中間法人 JPCERTコーディネーションセンター（略称：JPCERT/CC、代表理事：歌代 和正）は、2007 年第 2 四半期（4 月〜6月）の脆弱性関連情報の届出状況1をまとめました。

今四半期の呼びかけ：「ソフトウェア製品開発者は、利用者に的確な脆弱性の対策情報を公表して下さい！」―「ソフトウェア製品開発者による脆弱性対策情報の公表マニュアル」2を参考に―
1. 2007 年第 2 四半期の届出状況
表 1．2007 年第 2 四半期の届出件数
表 1 に示すように、2007 年 4 月 1 日から 6 月 30 日までの分類
届出件数 累計件数
IPA への脆弱性関連情報の届出件数は、ソフトウェア製品に関ソフトウェア製品
46 件
501 件
するもの 46 件、ウェブアプリケーション（ウェブサイト）に関する
ウェブサイト
95 件
940 件
もの 95 件、合計 141 件でした。届出受付開始（2004 年 7 月 8
計141 件
1441 件日）からの累計は、ソフトウェア製品に関するもの 501 件、ウェ
ブサイトに関するもの 940 件、合計 1,441 件で、ウェブサイトに関する届出が全体の 3 分の 2 を占めています。
(1)四半期毎の届出状況の推移
図１3に示すように、届出受付開始（2004 年 7 月 8 日）から各四半期末時点までの就業日 1 日あたりの届出件数が増加してきており、2007 年第 2 四半期末で 1.98 件となりました。近年、着実に増加しており、就業日 1
日あたり 2 件に近づいています。
就業日 1 日あたりの届出件数（届出受付開始から各四半期末時点）
2005/1Q

2005/2Q

2005/3Q

2005/4Q

2006/1Q

2006/2Q

2006/3Q

1.45

1.43

1.58

1.59

1.61

1.70

1.75

ソフトウエア製品に関する届出
ソフトウエア製品に関する届出（累計）

140

940

900
700

564
434

420

379
211

277

259
140

455

500
400

296

300

174

200

97

66

33 102

43 55

34 73

85

57

37 97

124 8835

2005/2Q

2005/3Q

2005/4Q

2006/1Q

2006/2Q

2006/3Q

2006/4Q

2007/1Q

19

2005/1Q

600

501

64

45
13 71

96

46

95

100
0

2007/2Q

図1．脆弱性関連情報の四半期別届出件数の推移
1

1000
800

507

60

0

845

1.98

661

80

20

1.95

749

100

40

1.92

ウェブサイトに関する届出
ウェブサイトに関する届出（累計）

120

四
半
期
件
数

2006/4Q 2007/1Q 2007/2Q

ソフトウェア等の脆弱性関連情報に関する届出制度：経済産業省告示に基づき、2004 年 7 月より開始しました。
IPA は届出受付・分析、JPCERT/CC は国内の製品開発者などの関連組織との調整を行っています。
2「ソフトウェア製品開発者による脆弱性対策情報の公表マニュアル」を 2007 年 5 月より公開しました。
http://www.ipa.go.jp/security/ciadr/partnership̲guide.html
32007 年第 1 四半期に公表した四半期別届出件数の推移のグラフから、2007/1Q にウェブサイトとして届けられた1 件を 2 つの問題として件数を追加するなどの変更をしました。
1

累
計
件
数

2.ソフトウェア製品の脆弱性の処理状況
表 2 に示すように、2007 年第 2 四半期にソフトウェア製品の脆弱性の修正が完了し JVN4で対策情報を公表したもの
は 23 件（届出受付開始からの累計 193 件）、製品開発者が脆
弱性ではないと判断したものは 0 件（累計 29 件）、告示で定める届出の対象に該当せず不受理としたものは 3 件（累計 74件）です。これらの取扱いを終了したものの合計は 26 件（累計296 件）です。詳細は P.5 別紙 1 の１章を参照下さい。

表 2．ソフトウェア製品の脆弱性の処理件数
分類

件数

累計件数

公表済み

23 件

193 件

脆弱性ではない

0件

29 件

不受理

3件

74 件

26 件

296 件

計

(1)「Java Web Start」の脆弱性を注意喚起しました5
Java アプリケーションをウェブ経由でダウンロード及び実行するソフトである「Java Web Start」には、本来許可されていないシステムクラスが実行される脆弱性があり、悪意あるコードが利用者のコンピュータで実行される可能性がありました。
「Java Web Start」が同梱されている、JRE(Java Runtime Environment)は Java アプリケーションの実行
環境として広く使われています。
この脆弱性対策を行うにあたり、使用中の JRE を異なるバージョンに更新した結果、一部の Java アプリケーションの動作に支障をきたす事例があったため、JRE を同一バージョンの update 版に更新する方法も合わ
せて、5 月 8 日に注意喚起しました。
(2)APOP 方式の脆弱性を注意喚起しました6
APOP（エーポップ、Authenticated Post Office Protocol）は、メールの受信に利用される認証方式の一つ
で、パスワードを盗聴から守るために使用されます。
APOP 方式には、プロトコル上の問題があり、利用者がなりすましたメールサーバに誘導された場合、メールの受信に利用するパスワードが解読され、漏えいする可能性がありました。
この APOP 方式の問題は MD5（エムディーファイブ、Message Digest 5）ハッシュ方式の問題がもととなっており、今回の問題が発見されたことは暗号学の国際会議で既に発表されているため、研究者の間で問題点の所在は周知のものとなっています。しかし、プロトコル上の問題であるため解決に時間がかかります。そのため、メールクライアントソフトの利用者への影響を考慮し、4 月 19 日に注意喚起しました。

(3)共通脆弱性評価システム CVSS7の新バージョンの概説資料を公開しました
共通脆弱性評価システム CVSS は、情報システムの脆弱性に対するオープンで包括的、汎用的な評
価手法の確立と普及を目指し、米国家インフラストラクチャ諮問委員会（NIAC:National Infrastructure
Advisory Council）のプロジェクトで 2004 年 10 月に原案が作成されました。
その後、CVSS の管理母体として CSIRT8の国際的な連合体である FIRST9が選ばれ、FIRST のCVSS-SIG(Special Interest Group)で適用推進や仕様改善が行われています。現在、CVSS は 30 を超える組織で採用されています10。
スペインで開催された FIRST 年会議で 6 月 20 日に CVSS の新バージョンである CVSS v2 が公表されたのに合わせ、その概説資料を公開しました。
CVSS 基本値の評価結果を公表している脆弱性対策情報データベース JVN iPedia や、脆弱性関連情報の調査結果11は、今後、CVSS v2 に順次対応していきます。
4

Japan Vulnerability Notes。脆弱性対策情報ポータルサイト。国内製品開発者の脆弱性への対応状況を公開し、システムのセキュリティ対策を支援しています。IPA、JPCERT/CC が共同で運営しています。http://jvn.jp/
5
本脆弱性の深刻度=レベルⅢ（危険）、CVSS 基本値=7.0、P.7 表 1-2 項番 1 を参照下さい。
6
本脆弱性の深刻度=レベルⅡ（警告）、CVSS 基本値=4.0、P.7 表 1-2 項番 2 を参照下さい。
7
Common Vulnerability Scoring System。http://www.ipa.go.jp/security/vuln/SeverityCVSS2.html
8Computer Security Incident Response Team。コンピュータセキュリティに関するインシデント（事故）への対応や調整、サポートをするチームのことです。
9
Forum of Incident Response and Security Teams。http://www.first.org/
10
CVSS の採用組織：http://www.first.org/cvss/eadopters.html
11
http://www.ipa.go.jp/security/vuln/documents/index.html
2

(4)望ましい脆弱性対策情報の公表マニュアルをまとめました
図 2 に JVN で公表した脆弱性対策情報の四半期別の公表件数を示します。届出受付開始から 2007 年第2 四半期までに、国内発見者から IPA に届出があったもの累計 193 件の他に、海外の CSIRT から連絡を受けたもの累計 261 件を加え、合計 454 件の脆弱性対策情報を JVN で公表しました。
脆弱性対策情報を公表する際、ソフトウェア製品開発者は、利用者に的確な情報を提供することが望まれます。特に、既にリリースした製品に脆弱性が存在することを知りながら、脆弱性対策情報を公表せず、被害が生ずる可能性を隠したり、不十分な内容の公表にとどめたり、虚偽の内容を公表することは、利用者の情報
資産や社会活動を危険にさらす結果を招きかねません。
このような状況から、利用者に必要な情報が的確に届けられることを目的に、ソフトウェア製品開発者が行うべき脆弱性対策情報の望ましい公表手順について、具体的に公表すべき項目と公表例、脆弱性対策情報への誘導方法を記載した「ソフトウェア製品開発者による脆弱性対策情報の公表マニュアル」を 5 月 30 日に公表しました。製品開発者は、本資料を参考にご対応くださいますようお願いします。

四
半
期
件
数

国内発見者からIPAに届出があったもの

海外のCSIRTから連絡を受けたもの

国内発見者からIPAに届出があったもの(累計)

海外のCSIRTから連絡を受けたもの（累計）

80
70
60
50
40
30
20
10
0

261
238
203

183
114

97
71

54

17
7

30
20

13

17

15

26

142

117

250
200
150

89

67

59

45

170

147

133

193

300

100
50

14

17

8

19

22

14

28

25

36

20

28

23

35

23

0

2005/1Q 2005/2Q 2005/3Q 2005/4Q 2006/1Q 2006/2Q 2006/3Q 2006/4Q 2007/1Q 2007/2Q

図2．JVNの脆弱性対策情報の四半期別公表件数の推移(5) JVN のリニューアルを行い、見やすさの向上とコンテンツの充実を図りました
JVN の利用者や製品開発者からいただいたご意見に基づき、JVN の見やすさの向上とコンテンツの充実を図りました。また、新たに、国内で利用されているソフトウェア等の製品を対象とした脆弱性対策情報データ
ベース JVN iPedia （ http://jvndb.jvn.jp/ ）を 4 月 25 日に公開しました。
JVN iPedia は、JVN で脆弱性対策情報を公表した約 450 件に加えて、海外の米国 NIST(National
Institute of Standards and Technology)が運営する NVD(National Vulnerability Database)から日本向けの情報を収集・翻訳し、現在、約 3900 件の脆弱性対策情報を蓄積しています。また、目的の脆弱性対策情報を容易に探すための検索機能も用意しておりますので、ご活用下さい。

3.ウェブサイトの脆弱性の処理状況
表 3 に示すように、2007 年第 2 四半期にウェブサイトの脆弱性の修正が完了したものは 86 件（届出受付開始からの累計 629 件）、ウェブサイト運営者が脆弱性ではないと判断したものは 9 件（累計 87 件）、ウェブサイト運営者と連絡が不12可能なものが-6 件 （累計 7 件）、告示で定める届出の対象に該当せず不受理としたものは 7 件（累計 69 件）です。これ
らの取扱いを終了したものの合計は 96 件（累計 792 件）です。詳細は P.10 別紙 1 の 2 章を参照下さい。

表 3．ウェブサイトの脆弱性の処理件数
分類

件数

累計件数

修正完了

86 件

629 件

脆弱性ではない

9件

87 件

連絡不可能

-6 件

7件

不受理

7件

69 件

96 件

792 件

計

(1)ウェブサイトの連絡先窓口の明確化をお願いします
IPA では、ウェブサイトの脆弱性の届出を受付け、ウェブサイトの運営者に連絡を取り、届出の内容を伝え、脆弱性がある場合は対策をお願いしています。
12

当該ページが削除されたことを確認したものが 6 件あり、マイナス計上しました。
3

累
計
件
数

ウェブサイトへ連絡する際、連絡先窓口（メールアドレスや電話番号）をウェブサイトから探しだしますが、見つけにくい場合や見当たらない場合があります。2006 年 1 月から 2007 年 6 月末までの届出 506 件のうち、不受理 44 件を除いた 462 件のウェブサイトに連絡を取りましたが、約 2 割は連絡先窓口が見つけにくいか、もしくは見当たらないウェブサイトでした（図 3）。また、連絡先窓口に関して、ウェブサイトのうち約 3 割はウェブサイトが提供しているサービスに関する連絡先窓口でした（図 4）。サービスに関する連絡先窓口への脆弱性
情報の連絡は、比較的、返信が無いことが多い傾向にあります。逆にウェブサイトに関する連絡先窓口がある
場合は、返信が早い傾向があります。
ウェブサイト運営者は、ウェブサイトに問題が発生する事も想定し、ウェブサイトに対する連絡先窓口をウェブサイトに明記お願いします。
各種サービスについて
見つけやすい見つけにくい見当たらない8%

特に指定なしウェブサイトについて

10%

11%

31%

81%

59%

図3．ウェブサイト連絡先窓口のわかりやすさ

図4．ウェブサイト連絡先窓口の種類(2)ウェブサイトの問題を解決する体制の構築をお願いします
IPA では、ウェブサイトへ脆弱性情報を伝える場合、最初にウェブサイトの連絡先窓口へ対応者の確認（脆弱性の届出があったので返信を頂きたい旨の連絡）を行います。その後、脆弱性の詳細情報を伝えます。
最初の対応者の確認で連絡先窓口から返信が無い場合は、平均 5 営業日毎に再メールや電話などで連絡を試みます。2006 年 1 月から 2007 年 6 月末までの届出のうち修正が完了した 233 件について、1 回目の連絡で返信があった場合と、2 回以上の連絡が必要であった場合の、ウェブサイトへ脆弱性の詳細情報を伝えてから修正が完了するまでの修正日数の関係を図 5 に示します。
1 回の連絡で返信を頂けたウェブサイトの約 90%は 90 日以内に修正が完了しています。一方、2 回以上の連絡が必要だった場合は、90 日以内の修正が 80%になるなど、修正が長期化する傾向がやや見られます。
ウェブサイト運営者は、ウェブサイトに問題が発生する事を想定し、早期に問題に対応し、解決する体制の構築をお願いします。
約90%（90日以内の修正）

連絡回数

修正日数
1回 (177件)

0-10
11-20
21-30
31-50
51-90
91-200201-300
301（日）

約80%（90日以内の修正）

2回以上 (56件)

0%

10%

20%

30%

40%

50%

60%

70%

80%

90%

100%

図5．IPAからウェブサイトへの連絡回数と修正日数の関係■ 本件に関するお問い合わせ先
独立行政法人 情報処理推進機構 セキュリティセンター
Tel: 03-5978-7527 Fax: 03-5978-7518 E-mail: vuln-inq@ipa.go.jp
有限責任中間法人 JPCERT コーディネーションセンター
Tel: 03-3518-4600 Fax: 03-3518-4602 E-mail: office@jpcert.or.jp■ 報道関係からのお問い合わせ先
独立行政法人 情報処理推進機構 戦略企画部広報グループ 横山／佐々木
Tel: 03-5978-7503 Fax:03-5978-7510 E-mail: pr-inq@ipa.go.jp
有限責任中間法人 JPCERT コーディネーションセンター 経営企画室 広報 江田
Tel:03-3518-4600 Fax:03-3518-4602 E-mail: pr@jpcert.or.jp

4

別紙１

1. ソフトウェア製品の脆弱性関連情報の取扱いおよび調整
1.1 ソフトウェア製品の脆弱性の処理状況
ソフトウェア製品の脆弱性関連情報の届出について、処理状況を図 1-1 に示します。今四半期に公表した脆弱性は、23 件（累計 193 件）です。また、「不受理」としたものは 3 件（累計 74 件）です。
取扱い終了：106件
2006年
6月末

89

17

111

合計259件42（括弧内の数字は、今四半期に「公表」、136件「脆弱性でない」と判断されたもの等の件数）
2006年
9月末

117

19

107

53

合計296件

186

67

167件
2006年
12月末

25

142

合計420件

199件
2007年
3月末

170

29

71

185

合計455件222件(23件)
公表済み

2007年
6月末

29
(0)

193(23)

取扱い中

不受理

205

74(3)

合計501件

脆弱性ではない
0

100

200

公表済み
脆弱性ではない
取扱い中
不受理

300

400

500

600

： JVN で脆弱性への対応状況を公表したもの： 製品開発者により脆弱性ではないと判断されたもの： 製品開発者が調査、対応中のもの： 告示で定める届出の対象に該当しないもの

図 1-1.ソフトウェア製品 各時点における脆弱性関連情報の届出の処理状況

1.2 届出られた製品の種類
届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報 501 件のうち、不受理のものを除いた 427 件の製品種類別の内訳を図 1-2 に示します。
図 1-2 に示すように、IPA に届出があった脆弱性には、「ウェブアプリケーションソフト」に関するものが多くあり
ます。

1%
1%
1%
3%
3%
3%

1%

8%

38%(38%)4%
4%(4%)
9%(9%)
11%(10%)

ウェブアプリケーションソフト
ウェブブラウザ
グループウェア
アプリケーション開発・実行環境
システム管理ソフト
メールソフトアンチウイルスソフト
ウェブサーバ
検索システムOS
ルータ
ファイル交換システム
プロキシ
その他

13%(13%)（427 件の内訳、グラフの括弧内は前四半期の数字）※

その他には、携帯機器、情報家電、パソコンの周辺機器、データベース、ワープロソフト等があります。

図 1-2.ソフトウェア製品の脆弱性 製品種類別内訳（届出受付開始から 2007 年 6 月末まで）
5

1.3 脆弱性の原因と脅威
届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報 501 件のうち、不受理のものを除いた 427 件の原因別の内訳を図 1-3 に、脅威別の内訳を図 1-4 に示します。
図 1-3 に示すように、脆弱性の原因は「ウェブアプリケーションの脆弱性」が最多であり、図 1-4 に示すように、脅威についても「任意のスクリプト実行」が最多となっています。これは、「ウェブアプリケーションソフト」以外のソ
フトウェア製品であっても、ウェブブラウザから管理、使用するものが多くあり、そこに脆弱性が存在するためです。

7%

ウェブアプリケーションの脆弱性
ファイルのパス名、内容のチェックの不備
バッファのチェックの不備
仕様上の不備セキュリティコンテキストの適用の不備
アクセス制御の不備証明書の検証に関する不備
その他実装上の不備
その他ウェブに関連する不備

14%
2%
3%
4%(3%)
4%(3%)
4%(4%)

70%(61%)

4%(4%)（427 件の内訳、グラフの括弧内は前四半期の数字）

図 1-3.ソフトウェア製品の脆弱性 原因別内訳（届出受付開始から 2007 年 6 月末まで）13

1%
2%
2%
3%
3%

1%

1%

1%

1%

2%

3%
4%
48%(48%)4%(4%)
5%(6%)
7%(8%)
8%(8%)

任意のスクリプトの実行
情報の漏洩
なりすまし
サービス不能任意のコードの実行
任意のコマンドの実行
認証情報の漏洩通信の不正中継
任意のファイルへのアクセス
アプリケーションの異常終了
セッション・ハイジャック
資源の枯渇
アクセス制限の回避
証明書等の確認不能
URL等の表示の偽装
データベースの不正操作
その他（427 件の内訳、グラフの括弧内は前四半期の数字）

図 1-4.ソフトウェア製品の脆弱性 脅威別内訳（届出受付開始から 2007 年 6 月末まで）1

13

それぞれの脆弱性の詳しい説明については付表 1 を参照してください。
6

1.4 ソフトウェア製品の脆弱性情報の調整および公表状況
JPCERT/CC は、表 1-1 に示す 2 種類の脆弱性関連情報について、日本国内の製品開発者等の関係者との調整、および海外 CSIRT14の協力のもと海外の製品開発者との調整を行っています。これらの脆弱性関連情報に対する製品開発者の対応状況は、IPA と JPCERT/CC が共同運営している脆弱性対策情報ポータルサイト
JVN（Japan Vulnerability Notes）において公表しています（URL： http://jvn.jp/ ）。

表 1-1.脆弱性関連情報の提供元別 脆弱性公表件数
情報提供元

今期

累計

①

国内の発見者から IPA に届出があったもの、および、製品開発者自身から自社製品の脆弱性、対策方法について連絡を受けたもの

23

193

②

海外 CSIRT 等と連携して公表したもの

23

261

計

46

454

（1）国内の発見者および製品開発者から届出があり公表した脆弱性
届出受付開始から 2007 年 6 月末までの届出について、脆弱性関連情報の届出（表 1-1 の①）を受理してか
ら製品開発者が対応状況を公表するまでに要した日数を図 1-5 に示します。45 日以内に公表される件数が36%と減少し、公表日数が増加する傾向にあります。製品開発者は脆弱性への早急な対応をお願いします。
45 日以内の公表件数の割合
2006/4Q まで
2007/1Q まで
41%
38%

36%（45日以内の公表）

全体（193件）

16件

19件

63件

41件

〜10 日 11〜20 日 21〜30 日 31〜45 日

46〜100 日

101〜200 日

0%

18件

10%

17件

20%

30%

40%

50%

60%

70%

80%

2007/2Q まで
36%

12件 7件201〜300 日 301 日〜

90%

100%

図 1-5.ソフトウェア製品の脆弱性 公表日数
表 1-2 に、国内の発見者、製品開発者から届出を受け、今四半期に公表した脆弱性を示します。
オープンソースソフトウェアに関して開発者、開発コミュニティに通知し公表したものが 10 件（表 1-2 の*1）、製品開発者自身から自社製品に関する脆弱性対策情報について連絡を受け公表したものが 1 件（表 1-2 の*2）、複数の製品開発者のソフトウェア製品に影響がある脆弱性が 1 件（表 1-2 の*3）ありました。

表 1-2.2007 年第 2 四半期に JVN で公表した脆弱性
項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN
公表日

CVSS
基本値

脆弱性の深刻度=レベル III（危険）、CVSS 基本値=7.0〜10.0

1「Java Web Start」において許 Java アプリケーションをウェブを通じてダウンロード及び実行するソフト 2007 年 5可されていないシステムクラ である「Java Web Start」には、本来許可されていないシステムクラスが 月 8 日
実行される脆弱性があります。このため、第三者により任意のコードがスが実行される脆弱性
実行される可能性があります。

7.0

脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.0〜6.9
メール受信プロトコルである「APOP」には、プロトコル仕様上の問題が 2007 年 4あります。このため、メールの受信に利用するパスワードが第三者に 月 19 日
より解読され漏えいする可能性があります。

4.0「ホームページ・ビルダー」付 ウェブページ作成ソフトである「ホームページ・ビルダー」付属の CGI 2007 年 5
属の CGI サンプルプログラ サンプルプログラムには、利用者からの入力の処理に問題がありま 月 16 日
ムにおける OS コマンド・イ す。このため、第三者によりサーバ上で任意の OS コマンドを実行される可能性があります。
ンジェクションの脆弱性

5.6

APOP におけるパスワード2
漏えいの脆弱性
(*3)

3

14

CSIRT（Computer Security Incident Response Team）は、コンピュータセキュリティに関するインシデント（事故）への対応や調整、サポートをするチームのことです。
7

項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN
公表日

CVSS
基本値

脆弱性の深刻度=レベル I（注意）、CVSS 基本値=0.0〜3.9「私本管理 Plus Ver2
4 GOOUT」におけるディレクト(*1) リ・トラバーサルの脆弱性

個人用蔵書管理ソフト「私本管理 Plus」のデータ閲覧ソフトである「私 2007 年 4
本管理 PlusVer2 GOOUT」には、ディレクトリ・トラバーサルの問題があ 月 16 日
ります。このため、第三者によりサーバ内の任意のファイルを閲覧される可能性があります。

2.3「open-gorotto」におけるクロ5
スサイト・スクリプティングの
(*1)
脆弱性

コミュニティサイト構築ソフトである「open-gorotto」には、ウェブページを 2007 年 4出力する際のエスケープ処理に漏れがあります。このため、第三者に 月 16 日
よりウェブページにスクリプトを埋め込まれる可能性があります。

1.9「InfoBarrier4」の自己復号型 情報漏洩防止セキュリティソフトである「InfoBarrier4」には、暗号機能 2007 年 4
6 ファイルにおける脆弱性
で自己復号型ファイルとして作成したファイルに問題があります。この 月 17 日(*2)
ため、第三者により自己復号型ファイルの内容を閲覧されたり、自己復号パスワードを入手されたりする可能性があります。

3.7

ネットワークカメラサーバである「キヤノン ネットワークカメラサーバー 2007 年 4
VB100 シリーズ」の管理画面には、ウェブページを出力する際のエス 月 19 日
ケープ処理に漏れがあります。このため、第三者によりウェブページにスクリプトを埋め込まれる可能性があります。

2.3

7「キヤノン ネットワークカメラ
サーバー VB100 シリーズ」
におけるクロスサイト・スクリ
プティングの脆弱性「Lunascape」の RSS リーダ
機能において任意のスクリ
プトが実行される脆弱性

ウェブブラウザである「Lunascape」の RSS リーダ機能には、RSS 情報 2007 年 4を HTML ページとして出力する際のエスケープ処理に漏れがありま 月 25 日
す。このため、意図しないスクリプトが実行される可能性があります。

2.3

8「Advance-Flow」におけるクロスサイト・スクリプティングの脆弱性

電子承認システム構築ソフトである「Advance-Flow」には、ウェブペー 2007 年 5ジを出力する際のエスケープ処理に漏れがあります。このため、第三 月 18 日
者によりウェブページにスクリプトを埋め込まれる可能性があります。

2.3

9「Mozilla Firefox」におけるク ウェブブラウザである「Mozilla Firefox」には、ウェプページの HTML 2007 年 6
10
ロスサイト・スクリプティング を解釈する処理に問題があります。このため、意図しないスクリプトを 月 1 日
(*1)
の脆弱性
実行する可能性があります。

2.3「HP System Management
Homepage」におけるクロス
サイト・スクリプティングの脆
弱性

HP サーバ用システム管理ツールである「HP System Management 2007 年 6Homepage」には、ウェブページを出力する際のエスケープ処理に漏れ 月 1 日があります。このため、第三者によりウェブページにスクリプトを埋め込まれる可能性があります。

2.3「Meneame」におけるクロス
12
サイト・スクリプティングの脆(*1)
弱性ソーシャルブックマークシステム構築ソフトである「Meneame」には、ウ 2007 年 6ェブページを出力する際のｴｽｹｰﾌﾟ処理に漏れがあります。このため、 月 4 日
第三者によりｳｪﾌﾞﾍﾟｰｼﾞにｽｸﾘﾌﾟﾄを埋め込まれる可能性があります。

2.3「ADPLAN」におけるクロス
サイト・スクリプティングの脆弱性

ウェブアクセス測定システムである「ADPLAN」には、ウェブページを 2007 年 6
出力する際のエスケープ処理に漏れがあります。このため、第三者に 月 7 日よりウェブページにスクリプトを埋め込まれる可能性があります。

2.3「dotProject」におけるクロス
14
サイト・スクリプティングの脆(*1)
弱性

プロジェクト管理ツールである「dotProject」には、ウェブページを出力す 2007 年 6る際のエスケープ処理に漏れがあります。このため、第三者によりウェ 月 14 日
ブページにスクリプトを埋め込まれる可能性があります。

2.3「Apache Tomcat」におけるク Java アプリケーションをサーバ側で動作させるソフトである「Apache 2007 年 6
15 ロスサイト・スクリプティング Tomcat」の Web Application Manager には、ウェブページを出力する 月 15 日(*1) の脆弱性
際のエスケープ処理に漏れがあります。このため、第三者によりウェブ
ページにスクリプトを埋め込まれる可能性があります。

1.9「Apache Tomcat」付属のサ Java アプリケーションをサーバ側で動作させるソフトである「Apache 2007 年 616 ンプルプログラムにおけるク Tomcat」付属のサンプルプログラムである jsp-examples には、ウェブ 月 15 日(*1) ロスサイト・スクリプティング ページを出力する際のエスケープ処理に漏れがあります。このため、の脆弱性
第三者によりｳｪﾌﾞﾍﾟｰｼﾞにｽｸﾘﾌﾟを埋め込まれる可能性があります。

2.3

11

13

ウェブブラウザである「Internet Explorer」には、MHTML でウェブペー 2007 年 6ジにアクセスする際の処理に問題があります。このため、第三者により 月 18 日
ウェブページで意図せず任意のスクリプトを実行される可能性があり
ます。

1.9

17

「Internet Explorer」における
MHTML によるダウンロー
ドのダイアログボックス回避の脆弱性「Internet Explorer」における
MHTML により任意のスクリプトが実行される脆弱性

ウェブブラウザである「Internet Explorer」には、MHTML でウェブペー 2007 年 6ジにアクセスする際の処理に漏れがあります。このため、第三者により 月 18 日
意図しないスクリプトが実行されてしまう可能性があります。

1.9

18

「Apache Tomcat」の19 Accept-Language ヘッダの(*1) 処理に関するクロスサイト・
スクリプティングの脆弱性

Java アプリケーションをサーバ側で動作させるソフトである「Apache 2007 年 6
Tomcat」には、Accept-Language ヘッダに関する処理に漏れがありま 月 19 日
す。このため、第三者によりウェブページにスクリプトを埋め込まれる可能性があります。

2.3

8

項番

脆弱性

20

「雷電 HTTPD」におけるクロスサイト・スクリプティングの脆弱性

未対策状態でのセキュリティ上の問題点

JVN
公表日

CVSS
基本値

ウェブサーバである「雷電 HTTPD」には、ウェブページを出力する際 2007 年 6のエスケープ処理に漏れがあります。このため、第三者によりウェブペ 月 21 日
ージにスクリプトを埋め込まれる可能性があります。

2.3

21 「Hiki」において任意のファイ Wiki ｸﾛｰﾝである「Hiki」には、ｾｯｼｮﾝ管理の処理に問題があります。こ 2007 年 6(*1) ルが削除可能な脆弱性のため第三者によりｻｰﾊﾞ上のﾌｧｲﾙを削除される可能性があります。 月 25 日

1.9

「sHTTPd」におけるクロスサ
イト・スクリプティングの脆弱性

ウェブサーバである「sHTTPd」には、ウェブページを出力する際のエス 2007 年 6
ケープ処理に漏れがあります。このため、第三者によりウェブページに 月 27 日
スクリプトを埋め込まれる可能性があります。

2.3「rktSNS」におけるクロスサ
23
イト・スクリプティングの脆弱(*1)
性

コミュニティサイト構築ソフトである「rktSNS」には、ウェブページを出力 2007 年 6する際のエスケープ処理に漏れがあります。このため、第三者により 月 27 日
ウェブページにスクリプトを埋め込まれる可能性があります。

2.3

22

(*1)：ｵｰﾌﾟﾝｿｰｽｿﾌﾄｳｪｱ製品の脆弱性、(*2)：製品開発者自身から届出られた自社製品の脆弱性、(*3)：複数開発者・製品に影響がある脆弱性（2）海外 CSIRT 等と連携して公表した脆弱性
JPCERT/CC が海外 CSIRT 等と連携して公表した脆弱性 23 件には、通常の脆弱性情報 12 件（表 1-3）と、対応に緊急を要する TechnicalCyber Security Alert（表 1-4）の 11 件とが含まれます。これらの脆弱性情報は、通常関連する登録済み製品開発者へ通知したうえ、JVN に掲載しています。

表 1-3.米国 CERT/CC15等と連携した脆弱性関連情報および対応状況
項番

脆弱性

対応状況

1

MIT Kerberos 5 GSS-API ライブラリにおけるメモリ二重開放の脆弱性

複数製品開発者へ通知

2

MIT Kerberos 5 telnet deamon における任意のユーザとしてログインできる脆弱性

複数製品開発者へ通知

3

MIT Kerberos 5 krb5_klog_syslog() におけるスタックオーバーフローの脆弱性

複数製品開発者へ通知

4

BIND におけるサービス運用妨害 (DoS) の脆弱性

複数製品開発者へ通知

5

Samba におけるコマンドインジェクションの脆弱性

注意喚起として掲載

6

Samba NDR MS-RPC におけるバッファオーバーフローの脆弱性

注意喚起として掲載

7

libpng におけるサービス運用妨害 (DoS) の脆弱性

複数製品開発者へ通知

8

RSA BSAFE Cert-C および Crypto-C にサービス運用妨害 (DoS) の脆弱性

複数製品開発者へ通知

9

IPv6 Type0 ルーティングヘッダの問題

複数製品開発者へ通知

10Yahoo! Messenger の Yahoo! Webcam view utilities ActiveX コントロールにバッファオーバ
特定製品開発者へ通知
ーフローの脆弱性

11

Yahoo! Messenger の Yahoo! Webcam image upload ActiveX コントロールにバッファオーバ
特定製品開発者へ通知
ーフローの脆弱性

12

JRE (Java Runtime Environment) のイメージ解析コードにバッファオーバーフローの脆弱性

注意喚起として掲載

表 1-4.米国 US-CERT16と連携した脆弱性関連情報および対応状況
項番

15
16

脆弱性

対応状況

1

MIT Kerberos に複数の脆弱性

複数製品開発者へ通知

2

Microsoft 製品における複数の脆弱性

緊急案件として掲載

3

Mozilla 製品における複数の脆弱性

緊急案件として掲載

4

Microsoft 製品における複数の脆弱性

緊急案件として掲載

5

Apple の Mac 製品に複数の脆弱性

緊急案件として掲載

6

Oracle 製品に複数の脆弱性

緊急案件として掲載

7

Microsoft DNS の RPC management ｲﾝﾀｰﾌｪｰｽにおけるバッファオーバーフローの脆弱性

緊急案件として掲載

8

Microsoft 製品における複数の脆弱性

緊急案件として掲載

9

MIT Kerberos に複数の脆弱性

複数製品開発者へ通知

10

Microsoft Windows アニメーションカーソルの脆弱性

緊急案件として掲載

11

Microsoft Windows アニメーションカーソルにおけるスタックバッファオーバフローの脆弱性

緊急案件として掲載

CERT/Coordination Center。1988 年のウィルス感染事件を契機に米国ｶｰﾈｷﾞｰﾒﾛﾝ大学に設置された CSIRT。
United States Computer Emergency Readiness Team。米国の政府系 CSIRT。
9

2. ウェブサイトの脆弱性関連情報の取扱い
2.1 ウェブサイトの脆弱性の処理状況
ウェブサイトの脆弱性関連情報の届出について、処理状況を図 2-1 に示します。
図 2-1 に示すように、ウェブサイトの脆弱性について、今四半期中に処理を終了したものは 89 件（累計 723件）でした。このうち、「修正完了」したものは 86 件（累計 629 件）、ウェブサイト運営者により「脆弱性ではない」と判断されたものは 9 件（累計 87 件）でした。なお、メールでウェブサイト運営者と連絡が取れない場合は、電話や郵送手段で連絡を試みたり、レンタルサーバ会社と連絡を試みたりしていますが、それでも、ウェブサイト運営者から回答がなく「取扱い不可能」なもののうち 6 件の当該ページが削除されているのを確認しましたので、累計7 件としました。
取扱いを終了した累計 723 件のうち、「連絡不可能」を除く累計 716 件（99%）は、指摘された点が解消されていることが、ウェブサイト運営者により確認されています。
「修正完了」したものうちのウェブサイト運営者からの依頼を受け、当該脆弱性が適切に修正されたかどうかを
IPA が確認したものは 9 件（累計 111 件）、ウェブサイト運営者が当該ページを削除することにより対応したもの
は 11 件（累計 61 件）、ウェブサイト運営者が運用により被害を回避しているものは 0 件（累計 18 件）でした。
このほか、「不受理」としたものは 7 件（累計 69 件）でした（括弧内の数字は、今四半期に「修正完了」、「脆弱性ではない」と判断されたもの等の件数）

取扱い終了：426件

2006年
6月末

53 13

360

合計564件

100

38

63 13

128

42

合計661件

13

142

46

491件

2006年
9月末

415
561件

2006年
12月末

71

477

合計749件

634件
2007年
3月末

78 13

543

149

修正完了

内確認済
111(9)

0100

629 (86)200

合計845件連絡不可能（未修正/不明）

723件(89件)
2007年
6月末

62

300

400

内当該

内運用

ページを

で回避

削除61(11)

18(0)

500

600

87
7
(9) (-6)

取扱い中

不受理

148

69
(7)

合計
940件

脆弱性ではない
700
800

900

1000

図 2-1.ウェブサイト各時点における脆弱性関連情報の届出の処理状況
修正完了確認済
当該ページを削除
運用で回避
脆弱性ではない
連絡不可能： ウェブサイト運営者により脆弱性が修正されたもの： 修正完了のうち、IPA が修正を確認したもの： 修正完了のうち、当該ページを削除して対応したもの： 修正完了のうち、運用により被害を回避しているもの： ウェブサイト運営者により脆弱性はないと判断されたもの： ウェブサイト運営者からの回答がなく、取扱いができないもの

取扱い中
不受理

： ウェブサイト運営者が調査、対応中のもの： 告示で定める届出の対象に該当しないもの

10

2.2 ウェブサイトの脆弱性の種類と脅威届出受付開始から今四半期末までに IPA に届出られたウェブサイトの脆弱性関連情報 940 件のうち、不受理のものを除いた 871 件について、種類別内訳を図 2-2 に、種類別の届出件数の推移を図 2-3 に、脅威別内訳を図 2-4 に示します。

1%

6%
クロスサイト・スクリプティング
SQLインジェクション
ファイルの誤った公開
DNS情報の設定不備
パス名パラメータの未チェック
HTTPレスポンス分割
メールの第三者中継
ディレクトリ・トラバーサル
セッション管理の不備
価格等の改ざんHTTPSの不適切な利用
クロスサイト・リクエスト・フォージェリ
フィルタリングの回避
オープンプロキシ
リダイレクタの不適切な利用
その他

1%
1%
1%
1%
1%
2%
2%
2%

44%
(43%)

3%
3%(3%)
3%(4%)
4%(5%)
26%(25%)（871 件の内訳、グラフの括弧内は前四半期の数字）

図 2-2.ウェブサイトの脆弱性種類別内訳（届出受付開始から 2007 年 6 月末まで）17

100
90

その他
リダイレクタの不適切な利用80

オープンプロキシ
フィルタリングの回避

70

クロスサイト・リクエスト・フォージェリHTTPSの不適切な利用

60

価格等の改ざん50

セッション管理の不備
ディレクトリ・トラバーサル

40

メールの第三者中継
HTTPレスポンス分割

30

パス名パラメータの未チェック
DNS情報の設定不備

20

ファイルの誤った公開
SQLインジェクション

10

クロスサイト・スクリプティング
0
3Q 4Q 1Q
2004
2005

2Q

3Q

4Q

1Q 2Q
2006

3Q

4Q

1Q 2Q
2007

図 2-3.ウェブサイトの脆弱性種類別件数の推移（届出受付開始から 2007 年 6 月末まで）317

それぞれの脆弱性の詳しい説明については付表 2 参照してください。
11

2%
本物サイト上への偽情報の表示
データの改ざん、消去

1%
2%
3%
3%
4%
6%(6%)

2%

27%(25%)

Cookie情報の漏洩
個人情報の漏洩
サーバ内ファイルの漏洩
なりすまし
ドメイン情報の挿入
ウェブキャッシュ情報のすり替え
メールシステムの不正利用

10%(10%)

踏み台
利用者のセキュリティレベルの低下
24%(24%)

16%(17%)

その他（87１件の内訳、グラフの括弧内は前四半期の数字）

図 2-4.ウェブサイトの脆弱性脅威別内訳（届出受付開始から 2007 年 6 月末まで）
今四半期も「クロスサイト・スクリプティング」が多く届出られ（図 2-3）、脆弱性の種類は「クロスサイト・スクリプテ
ィング」「SQL インジェクション」が全体の 7 割をしめます（図 2-2）。
また「クロスサイト・スクリプティング」や「SQL インジェクション」の脅威である、「本物サイト上への偽情報の表示」「Cookie 情報の漏洩」「データの改ざん、消去」が 7 割をしめています（図 2-4）。
ウェブサイト運営者は、引き続き脆弱性を作りこまないように注意してください。

2.3 ウェブサイトの脆弱性の修正状況
届出受付開始から 2007 年 3 月末までの届出について、ウェブサイト運営者に脆弱性の詳細情報を通知してから修正されるまでに要した日数およびその傾向を、脆弱性の種類別に図 2-5 および図 2-6 に示します。全体の 53%の届出が 30 日以内、全体の 79%の届出が 90 日以内に修正されています。
90 日以内の修正件数の割合
2006/4Q まで
2007/1Q まで
80%
81%

79%（90日以内の修正）
90

2007/2Q まで
79%

その他(33件)
パス名パラメータの未チェック(6件)
クロスサイト・リクエスト・フォージェリ(8件)
HTTPSの不適切な利用(8件)
メールの第三者中継(9件)
ディレクトリ・トラバーサル(9件)セッション管理の不備(9件)
ファイルの誤った公開(14件)
HTTPレスポンス分割(21件)
DNS情報の設定不備(28件)
SQLインジェクション(99件)
クロスサイト・スクリプティング(288件)

80
70
60
50
40
30
20
10
0
当日

1日

2日

3日

4日
〜5日

6日
〜10日

11日
〜30日

21日
〜30日

31日
〜50日

51日
〜90日

図 2-5.ウェブサイトの脆弱性修正に要した日数
1291日
201日 301日〜〜200日 〜300日クロスサイト・スクリプティング (288件)
SQLインジェクション (99件)
DNS情報の設定不備 (28件)
HTTPレスポンス分割 (21件)
ファイルの誤った公開 (14件)
メールの第三者中継 (9件)
ディレクトリ・トラバーサル (9件)セッション管理の不備 (9件)
クロスサイト・リクエスト・フォージェリ (8件)
HTTPSの不適切な利用 (8件)
パス名パラメータの未チェック (6件)
他(33件)
合計(532件)
0%〜10日

11日〜20日

10%
21日〜30日

20%
31日〜50日30%

40%

51日〜90日50%
91日〜200日

60%

70%
201日〜300日

80%

90%

100%

301日〜

図 2-6.ウェブサイトの脆弱性修正に要した日数の傾向

3. 皆様へのお願い
脆弱性の修正を促進していくため、以下のとおり、ご注意ください。

(1)ウェブサイト運営者の皆様へ
多くのウェブサイトのソフトウェアに脆弱性が発見されています。自身のウェブサイトでどのようなソフトウェ
アを利用しているかを把握し、セキュリティ対策を実施してください。
なお、脆弱性の理解にあたっては、以下のコンテンツをご利用ください。
「知っていますか？脆弱性（ぜいじゃくせい）」：http://www.ipa.go.jp/security/vuln/vuln_contents/(2)製品開発者の皆様へ
JPCERT/CC は、ソフトウェア製品の脆弱性関連情報について、整備している「製品開発者リスト」に基づき、一般公表日の調整等を行います。迅速な調整を進められるよう、「製品開発者リスト」への登録にご協力ください（URL：http://www.jpcert.or.jp/vh/）。また、製品開発者ご自身で脆弱性を発見、修正された場合も、利用者への対策情報の周知のために JVN を活用できます。IPA もしくは JPCERT/CC にご連絡下さい。

(3)一般インターネットユーザの皆様へ
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がけてください。脆弱性があるソフトウェアを使い続けることは避けましょう。
なお、脆弱性関連情報の適切な流通のために、発見者の皆様へも以下のとおりお願いします。

(4)発見者の皆様へ届出いただきました脆弱性関連情報は、脆弱性が修正されるまでの間は第三者に漏れぬよう適切に管理く
ださるようお願いします。

13

参考

付表 1. ソフトウェア製品 脆弱性の原因分類
届出において想定された脅威
アクセス制御の不備
アクセス制御を行うべき個所において、アクセス制 設定情報の漏洩
御が欠如している
通信の不正中継
なりすまし
任意のスクリプトの実行
認証情報の漏洩
ウェブアプリケーション ウェブアプリケーションに対し、入力された情報の内 アクセス制限の回避の脆弱性
容の解釈や認証情報の取扱い、出力時の処理に問 価格等の改ざん題がある。「クロスサイト・スクリプティング」攻撃や サービス不能「SQL インジェクション」攻撃などに利用されてしまう 資源の枯渇
重要情報の漏洩
情報の漏洩
セッション・ハイジャック
通信の不正中継
なりすまし
任意のコマンドの実行
任意のスクリプトの実行
任意のファイルへのアクセス
認証情報の漏洩仕様上の不備RFC 等の公開された規格に準拠して、設計、実装した結果、問題が生じるもの。プロトコル上の不備が サービス不能
資源の枯渇ある場合、ここに含まれる
脆弱性の原因

1

2

3

4

5

6

7

説明

証明書の検証に関する ウェブブラウザやメールクライアントソフトに証明書不備を検証する機能が実装されていない、または、検証 証明書の確認不能
が正しく行われずに、偽の証明書を受けいれてしま なりすましう
セキュリティコンテキスト 本来、厳しい制限のあるセキュリティコンテキストで アプリケーションの異常終了の適用の不備取り扱うべき処理を、緩い制限のセキュリティコンテ 情報の漏洩
キストで処理してしまう
任意のコードの実行
任意のスクリプトの実行
バッファのチェックの想定外の長さの入力が行われた場合に、長さをチェ サービス不能不備
ックせずバッファに入力してしまう。「バッファオーバ 任意のコードの実行
ーフロー」攻撃に利用されてしまう。
任意のコマンドの実行
ファイルのパス名、内容 処理の際のパラメータとして指定されているディレク
アプリケーションの異常終了のチェックの不備
トリ名やファイル名、ファイルの内容をチェックしていサービス不能ない。任意のディレクトリのファイルを指定できてしま
資源の枯渇
い、「ディレクトリ・トラバーサル」攻撃に利用されてし任意のファイルへのアクセスまう。また、破損したファイルや不正に書き換えられ認証情報の漏洩たファイルを処理した際に不具合が生じる

付表 2 ウェブサイト脆弱性の分類
脆弱性の種類

深刻度

1

ファイルの誤った公開高2

パス名パラメータの未チェック

高届出において想定された脅威
個人情報の漏洩
一般に公開すべきでないファイルが公開されて サーバ内ファイルの漏洩
おり、自由に閲覧できる状態になっている
データの改ざん、消去
なりすまし
ユーザからの入力を処理する際のパラメータとして指定されているファイル名を、ユーザが変サーバ内ファイルの漏洩
更し、ウェブサーバ上の任意のディレクトリのファイルを指定できてしまう
説明

14

脆弱性の種類3

ディレクトリ･トラバー
サル

深刻度

説明

届出において想定された脅威高ウェブサーバ上のディレクトリのアクセス権を超
個人情報の漏洩
えて、本来許可されている範囲外のディレクトリ
サーバ内ファイルの漏洩にアクセスできる4

セッション管理の不備

高セッション管理に、推測可能な情報を使用してCookie 情報の漏洩いるため、他のユーザの情報が容易に推測で個人情報の漏洩き、他のユーザになりすまして、サービスを利なりすまし用することができる

5

SQL インジェクション

高

入力フォームなどへ SQL コマンド（データベー 個人情報の漏洩
スへの命令）を入力し、データベース内の情報 サーバ内ファイルの漏洩の閲覧、更新、削除などができる
データの改ざん、消去

6

DNS 情報の設定不備

高

DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名の持ち主であ ドメイン情報の挿入
るかのようにふるまえてしまう

7

オープンプロキシ

中

8

クロスサイト･
スクリプティング

中9

クロスサイト・リクエスト・
フォージェリ中

10 HTTP レスポンス分割

中11

セキュリティ設定の不適切な変更中12

リダイレクタの不適切な利用

中

13 フィルタリングの回避

14

OS コマンドインジェクション

15 メールの第三者中継

中

中

低

外部の第三者により、他のサーバへのアクセスを中継するサーバとして利用され、不正アク
踏み台
セスなどの際にアクセス元を隠すための踏み台にされてしまう
Cookie 情報の漏洩
サーバ内ファイルの漏洩
ユーザの Cookie 情報を知らないうちに転送さ個人情報の漏洩せたり、偽の情報を表示させたりするような罠
データの改ざん、消去のリンクをユーザにクリックさせ、個人情報等をなりすまし盗むことができる
本物サイト上への偽情報の表示
ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそかにアクセスさデータの改ざん、消去
せ、登録情報の変更や商品の購入をさせることができる
攻撃者がユーザに対し、悪意のある要求をウェ
ブサーバに送信するように仕向けることで、ウ ウェブキャッシュ情報のェブサーバからの応答を分割させて応答内容 すり替えをすり替え、ユーザに対して偽のページを表示させることができる
ユーザに対し、ソフトウェアをインストールさせたり、ブラウザのセキュリティレベルを下げるよ 利用者のセキュリティレ
う指示することでクライアント PC のセキュリティ ベルの低下
設定を低下させる
ウェブサーバに設置したリダイレクタが悪意あ踏み台るリンクへの踏み台にされたり、そのウェブサイ
本物サイト上への偽情報
ト上で別のサイト上のページを表示させられての表示しまう
ウェブサイトのサービスやブラウザの機能とし利用者のセキュリティレ
て提供されているフィルタリング機能が回避さベルの低下れる問題。これにより、本来制限されるはずのなりすまし
ウェブページを閲覧してしまう
攻撃者がウェブアプリケーションを介してウェブサーバの OS コマンドを実行できてしまい、サ
任意のコマンドの実行
ーバ内ファイルの閲覧やシステム操作、不正なプログラムの実行などを行われてしまう
利用者が入力した内容を管理者が指定したメールアドレスに送信する機能で、外部の利用 メールシステムの不正利者が宛先メールアドレスを自由に指定できてし 用
まい、迷惑メール送信の踏み台に悪用される

15

脆弱性の種類

16

HTTPS の不適切な利用

17 価格等の改ざん

深刻度

届出において想定された脅威説明低HTTPS による暗号化をしているが、暗号の選択や設定が十分でなかったり、ウェブサイトでのユーザへの説明に間違いがある、または、 なりすまし
ウェブサイトの設計上、ユーザから証明書が確
認できない

低

ショッピングサイトにおいて、価格情報等が利用者側で書き換えられる。書き換えによる被害 データの改ざん
は、ウェブサイト側に限定される・API : Application Program Interface、・DNS : Domain Name System、・CGI : Common Gateway Interface、・HTTP : Hypertext Transfer Protocol、・HTTPS : Hypertext Transfer Protocol Security、・ISAKMP : Internet Security Association Key Management Protocol、・MIME : Multipurpose Internet Mail Extension、・RFC: Request For Comments、・SQL : Structured Query Language、・SSI : Server Side Include、・SSL : Secure Socket Layer、・TCP : Transmission Control Protocol、・URI : Uniform Resource Identifier、・URL : Uniform Resource Locator

付図１．「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み）【受付機関】
受付機関】【調整機関】
調整機関】

報告された 脆弱性関連情報通知 公表日の決定，
脆弱性
関連情報の
海外の調整機関
内容の確認
との連携

【分析機関
】
分析機関】
報告された
脆弱性
関連情報の
検証

発見者

対応状況
の集約，
公表日の
調整等

システム導入支援者等

JPCERT/CC

ソフト開発者等

ソフトウエア製品の脆弱性

脆弱性関連
情報届出

IPA

IPA, JPCERT/CC
対策情報ポータル
（JVN）
対応状況
等公表

ユーザ
政府
企業
個人

セキュリティ対策推進協議会等

ウェブアプリケーション︵ウェブサイト︶の脆弱性【分析支援機関】

産総研など
脆弱性関連
情報届出

脆弱性関連情報通知

ウェブサイト
運営者

個人情報の漏えい時は事実
関係を公表

検証，対策実施①製品開発者及びウェブサイト運営者による脆弱性対策を促進【期待効果】 ②不用意な脆弱性関連情報の公表や脆弱性の放置を抑制③個人情報等重要情報の流出や重要システムの停止を予防※IPA：独立行政法人 情報処理推進機構、JPCERT/CC：有限責任中間法人 JPCERT コーディネーションセンター、産総研：独立行政法人 産業技術総合研究所

16