Japan Computer Emergency
Response Team Coordination
Center

電子署名者 : Japan Computer Emergency
Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku,
email=office@jpcert.or.jp, o=Japan Computer
Emergency Response Team Coordination
Center, cn=Japan Computer Emergency
Response Team Coordination Center
日付 : 2015.02.06 10:53:37 +09'00'

ソフトウェア等の脆弱性関連情報の取扱いに関する活動報告レポート[2014 年第 4 四半期（10 月～12 月）]
ソフトウェア等の脆弱性関連情報の取扱いに関する活動報告レポートについて
脆弱性関連情報の取扱いに関する活動は、ソフトウェア等脆弱性関連情報取扱基準（2004 年経済産業省告示第 235 号改め、2014 年経済産業省告示第 110 号）に基づき、関係者による情報セキュリティ早期警戒パートナーシップの枠組みの中で、脆弱性関連情報取扱制度（本報告書では本制度と記します）が 2004 年 7 月より運用されています。本制度において、独立行政法人情報処理推進機構（以下、IPA）と一般
社団法人 JPCERT コーディネーションセンター（以下、JPCERT/CC）は、脆弱性関連情報の届出の受付や調整などの業務を実施しています。
本レポートでは、2014 年 10 月 1 日から 2014 年 12 月 31 日までの間に実施した、脆弱性関連情報の取扱いに関する活動及び脆弱性の傾向について紹介しています。

独立行政法人情報処理推進機構 技術本部 セキュリティセンター
一般社団法人 JPCERT コーディネーションセンター
2015 年 1 月 28 日

目次
1. 2014 年第 4 四半期

ソフトウェア等の脆弱性関連情報に関する届出受付状況 ........... 1

1-1. 脆弱性関連情報の届出受付状況 ........................................................................................... 1
1-2. 脆弱性の修正完了状況.......................................................................................................... 2
1-3. 連絡不能案件の取扱状況 ...................................................................................................... 3
1-4. 脆弱性の傾向について.......................................................................................................... 4
ウェブサイトに潜むディレクトリ・トラバーサルの脆弱性の見つけ方に注意 ...................... 4
2. ソフトウェア等の脆弱性に関する取扱状況（詳細） ................................. 7
2-1. ソフトウェア製品の脆弱性 .................................................................................................. 7
2-1-1. 処理状況......................................................................................................................... 7
2-1-2. ソフトウェア製品別届出件数........................................................................................ 8
2-1-3. 脆弱性の原因と影響別件数 ........................................................................................... 9
2-1-4. 調整および公表件数 .....................................................................................................11
2-1-5. 連絡不能案件の処理状況 ............................................................................................. 16
2-2. ウェブサイトの脆弱性........................................................................................................ 17
2-2-1. 処理状況....................................................................................................................... 17
2-2-2. 運営主体の種類別の届出件数...................................................................................... 18
2-2-3. 脆弱性の種類・影響別届出 ......................................................................................... 18
2-2-4. 修正完了状況 ............................................................................................................... 19
2-2-5. 取扱中の状況 ............................................................................................................... 21
3. 関係者への要望 ...............................................................223-1. ウェブサイト運営者 ........................................................................................................... 22
3-2. 製品開発者 .......................................................................................................................... 22
3-3. 一般のインターネットユーザー ......................................................................................... 22
3-4. 発見者 ................................................................................................................................. 22
付表 1. ソフトウェア製品の脆弱性の原因分類 ........................................23
付表 2. ウェブサイトの脆弱性の分類 ................................................24
付図１．
「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み） .25

1. 2014 年第 4 四半期 ソフトウェア等の脆弱性関連情報に関する届出受付状況
1-1. 脆弱性関連情報の届出受付状況～ 脆弱性の届出件数の累計が 10,655 件になりました ～表 1-1 は本制度（*1）における届出状況について、

表 1-1．届出件数2014 年第 4 四半期の脆弱性関連情報（以降「脆分類弱性」）の届出件数および届出受付開始（2004

ソフトウェア製品

86 件

1,952 件年 7 月 8 日）から今四半期までの累計を示して

ウェブサイト392 件

8,703 件

478 件

10,655 件います。今期のソフトウェア製品に関する届出

今期件数

合計

累計

件数は 86 件、ウェブサイト（ウェブアプリケー
ション）に関する届出は 392 件、合計 478 件でした。届出受付開始からの累計は 10,655 件で、内訳はソフトウェア製品に関するもの 1,952 件、ウェブサイトに関するもの 8,703 件でウェブサ
イトに関する届出が全体の 82%を占めています。
図 1-1 のグラフは過去 3 年間の届出件数の四半期ごとの推移を示したものです。今四半期は、
ソフトウェア製品に関する届出が前四半期の約 2 倍、ウェブサイトに関する届出が過去 3 年間で最多となりました。表 1-2 は過去 3 年間の四半期ごとの届出の累計および 1 就業日あたりの届出件数の推移です。今四半期の 1 就業日あたりの届出件数は 4.17（*2）件でした。
ソフトウェア製品
ソフトウェア製品（累計）

四半期件数

400件
300件

6,246 6,370 6,525 6,701

ウェブサイトウェブサイト（累計）

6,914

累計件数

7,730 8,018
7,099 7,366 7,585

8,311 8,703

200件
100件
0件

1,568 1,660 1,742 1,787 1,827
1,336 1,382 1,423 1,467 1,521

1,866

1,952

53 216 46 124 41 155 44 176 54 213 47 185 92 267 82 219 45 145 40 288 39 293 86 392

1Q
2012

2Q

3Q

4Q

1Q
2013

2Q

3Q

4Q

1Q
2014

2Q

3Q

4Q

2014
1Q

2Q

9,000件
8,000件
7,000件6,000件
5,000件
4,000件
3,000件
2,000件
1,000件
0件

図1-1．脆弱性の届出件数の四半期ごとの推移

表 1-2．届出件数（過去 3 年間）
2012
1Q
累計届出件数[件]
１就業日あたり[件/日]

2Q

3Q

4Q

2013
1Q

2Q

3Q

4Q

3Q

4Q

7,582 7,752

7,948 8,168 8,435 8,667 9,026 9,327 9,517 9,845 10,177 10,655

4.05

3.98

4.00

3.78

3.96

（ *1）

3.96

4.00

4.03

4.01

4.04

情報セキュリティ早期警戒パートナーシップガイドライン
http://www.ipa.go.jp/security/ciadr/partnership_guide.html
https://www.jpcert.or.jp/vh/index.html（ *2）
1 就業日あたりの届出件数は、「累計届出件数」/「届出受付開始からの就業日数」にて算出

1

4.07

4.17

また、図 1-2 は、届出受付開始から 2014 年 12 月末までの届出件数の年ごとの推移です。過去、最も届出が多かったのは、2008 年（2,625 件）です。2014 年はソフトウェア製品が 210 件、ウェブサイトが 1,118 件の合計 1,328 件でした。2010 年以降、届出件数は年々増加しており、2014
年は届出件数が届出受付開始以来 3 番目に多い年となりました。
年間
届出件数

ソフトウェア製品

ウェブサイト累計

3,000件2,500件

5,975 6,481

2,000件

1,000件

0件

7,313

10,000件

8,168

8,000件6,000件

4,375

1,500件500件

10,655
9,327

173

579

1,179 1,750

140
33

294
112

315
285

374
197

2004

2005

2006

2007

累計
届出件数

4,000件

1,446

2,391
234

154

379
127

2008

2009

2010

671

884

1,118

2,000件

141

184

275

210

0件

2011

2012

2013

2014

691

図1-2．脆弱性関連情報の届出件数の年ごとの推移

1-2. 脆弱性の修正完了状況～ ソフトウェア製品およびウェブサイトの修正件数が 6,900 件になりました～
表 1-3 は今四半期と届出受付開始から今四半期までのソフトウェア製品とウェブサイトの修正完了
件数を示しています。
ソフトウェア製品の脆弱性の届出のうち、今四半期に脆弱性対策情報を JVN で公表した件数（回避策等の公表も修正完了とみなす）は 34 件（*3）（累計

表 1-3．修正完了件数
分類

今期件数

累計

ソフトウェア製品

34 件

959 件

ウェブサイト163 件

5,941 件

197 件

6,900 件

合計959 件）でした。そのうち、4 件が製品開発者による自社製品の脆弱性の届出でした。また、届出を受理してから JVN 公表までの日数が 45 日（*4）以内だったのは 7 件（21%）でした。
ウェブサイトの脆弱性の届出のうち、IPA がウェブサイト運営者に通知を行い、今四半期に修正を完了したものは 163 件（累計 5,941 件）でした。修正を完了した 163 件のうち、ウェブアプ
リケーションを修正したものは 114 件（70%）、当該ページを削除したものは 49 件（30%）
、運
用で回避したものは 0 件でした。なお、修正を完了した 163 件のうちウェブサイト運営者へ脆弱関連情報を通知してから 90 日（*5）以内に修正が完了したのは 110 件（67%）でした。今四半期は、
90 日以内に修正完了した割合が、前四半期（183 件中 142 件（78%））より減少しています。

（ *3）

P.12 表 2-3 参照
JVN 公表日の目安は、脆弱性の取扱いを開始した日時から起算して 45 日後としています。
（ *5）
対処の目安は、ウェブサイト運営者が脆弱性の通知を受けてから、3 ヶ月以内としています。
（ *4）

2

また、図 1-3 は、届出開始から 2014 年 12 月末までの修正完了件数の年ごとの推移を示しています。過去、修正を完了した件数が最も多かったのは 2009 年の 1,401 件でした。2014 年は、ソフトウェア製品が 140 件、ウェブサイトが 633 件の合計 773 件でした。2014 年はソフトウェア
製品の修正が、最も多く完了した年となりました。これは、本制度が開始してから 10 年が経過し、「製品開発者の脆弱性に対する理解が浸透してきた」ためと考えられます。

年間修正
完了件数

ソフトウェア製品

ウェブサイト1,000件

3,808

800件

6,000件4,435

5,000件
4,000件

3,055

600件

0件

7,000件

5,241

1,200件200件

6,900 完了件数
6,127

1,400件

400件

累計

累計

627

3,000件

989

1,654

262

586

1,322

78

335

67
11

209
48

209
83

100

79

2004

2005

2006

2007

2008

2,000件
513

694

759

633

79

687
66

114

112

127

140

2009

2010

2011

2012

2013

2014

1,000件
0件

図1-3. 脆弱性関連情報の修正完了件数の年ごとの推移

1-3. 連絡不能案件の取扱状況
本制度では、連絡が取れない製品開発者を「連絡不能開発者」と呼び、連絡の糸口を得るため、まず最初に当該製品開発者名等を公表しています（*6）。製品開発者名を公表後、3 ヵ月経過しても製品開発者から応答が得られない場合は、その後製品情報（対象製品の具体的な名称およびバージョン）を公表します。それでも応答が得られない場合は、情報提供の期限を追記します。情報
提供の期限までに製品開発者から応答がない場合は、当該脆弱性情報の公表に向け、「情報セキュ
リティ早期警戒パートナーシップガイドライン」に定められた公開条件を満たしているかを公表
判定委員会（*7）で審議します。公表が適当と判定された脆弱性情報は JVN に公表されます。
今四半期に新たに製品開発者名を公表したものは 12 件、製品開発者名に加え製品情報を追加公表したものは 8 件、2014 年 12 月末時点の連絡不能開発者の累計公表件数は 163 件となりました。また、2014 年 11 月に第 1 回目の公表判定委員会を開催し、4 件の脆弱性情報について審議
しました。

（ *6）
（ *7）

連絡不能開発者一覧：http://jvn.jp/reply/index.html
連絡不能案件の脆弱性情報を公表するか否かを判定するために IPA が組織する。法律、情報セキュリティ、
当該ソフトウェア製品分野の専門的な知識経験を有する専門家、かつ、当該案件と利害関係のない者で構成される。

3

1-4. 脆弱性の傾向について
ウェブサイトに潜むディレクトリ・トラバーサルの脆弱性の見つけ方に注意～安全な手順、手法による脆弱性の発見を～2014 年第 4 四半期には、
ウェブサイト及びソフトウェア製品の届出は合計 478 件ありました。
そのうちの約 30%を占めるのは、「ディレクトリ・トラバーサル」に関する脆弱性でした（図 1-4）。

その他の脆弱性
SQLインジェクション
21

81

ウェブサイトウェブサイトディレクトリ・トラバーサル

124

131

クロスサイト・スクリプティング

7245

ソフトウェア製品

図1-4. 届出に対するディレクトリ・トラバーサルの届出の割合「ディレクトリ・トラバーサル」の脆弱性とは
この脆弱性がウェブサイトに存在すると、悪意のある第三者に非公開のファイルにアクセスされてしまうなどのセキュリティ上の問題が生じます。詳細は次のとおりです（図 1-5）。

セキュリティ上の問題
・インターネット上で非公開の重要情報を閲覧またはダウンロードされる（赤矢印）・ウェブサーバの設定情報ファイルや公開コンテンツファイルなどを削除・改ざんされる

インターネット上に公開「http://www.example.jp/IPA2/vuln.php?
filename=../../secret/key.txt」/IPA2

vuln.php

インターネット上に非公開/secretkey.ｔｘｔ

key.txt：「ディレクトリ・トラバーサル」
によって「/secret/key.txt」をダウンロードする流れ

図1-5. 「ディレクトリ・トラバーサル」の脆弱性の概要

ウェブサイトにおける「ディレクトリ・トラバーサル」の脆弱性が作りこまれる原因は、ファ
イル名のチェックの不備にあります（*8）。

（ *8）「http://www.example.jp/IPA2/vuln.php?filename=sample.pdf」のように、パラメータ「filename」に「sample.pdf」とファイル名を直接指定している場合や、ファイル名に「../」やディレクトリ名を指定している実装において、ファイル名のチェックが不十分であること。

4

今期に比較的多く「ディレクトリ・トラバーサル」の脆弱性が届出されたのは、この脆弱性を意図せず作りこんでしまい、その脆弱性が未対策なままのウェブサイトが多く存在していたためと推測されます。前述のようなセキュリティ上の問題を引き起こさないよう、ウェブサイト運営者および、ウェブサイトの構築担当者は IPA が発行している「安全なウェブサイトの作り方」を参考にするなど適切な対策を行う必要があります。
なお、「ディレクトリ・トラバーサル」の脆弱性を見つける場合は、安全な手順で行う必要があります。ウェブサイトに「ディレクトリ・トラバーサル」の脆弱性がある場合は、誤ってウェブサーバ上に存在する個人情報やウェブサーバの設定情報などといったインターネット上で非公開のファイルにアクセスしてしまう可能性があります。
「ディレクトリ・トラバーサル」の脆弱性により、本来ファイルを閲覧する権限のない発見者がインターネット上で非公開なファイルを閲覧してしまうと、不正な行為であるとウェブサイト運営者にみなされる可能性があります。また場合によっては発見者とウェブサイト運営者との間でトラブルが生じる可能性があります。脆弱性の見つけ方は、次に示す安全な手順（図 1-6）で実施してください。なお、図 1-6 中の「vuln.php」
は「ディレクトリ・トラバーサル」の脆弱性をもつ問題あるプログラムです。

現状把握：ウェブサイトの通常の動作確認

インターネット上に公開/IPA1「http://www.example.jp/IPA2/vuln.php?filename=sample.pdf」

：アクセス

/IPA2

：ダウンロード
public.jpg

vuln.php

sample.pdf

・ インターネット上に公開されている「http://www.example.jp/IPA2/vuln.php?filename=sample.pdf」にウェブブラウザでアクセスすると、sample.pdf をダウンロードできることを確認する
・ 同時に「http://www.example.jp/IPA1/public.jpg」がインターネット上に公開されていることを確認する

脆弱性調査：インターネット上に公開されている異なるディレクトリ
のファイルにアクセス先を変更

インターネット上に公開/IPA1「http://www.example.jp/IPA2/vuln.php?
filename=../IPA1/public.jpg」/IPA2

public.jpg

vuln.php「filename=sample.pdf」から「filename=../IPA1/public.jpg」へと文字を変更する

5

脆弱性確認：「ディレクトリ・トラバーサル」によりファイルがダウンロードされることを確認

インターネット上に公開/IPA1「http://www.example.jp/IPA2/vuln.php?
filename=../IPA1/public.jpg」/IPA2

public.jpg：「ディレクトリ・トラバーサル」
により、「public.jpg 」をダウンロードする流れ

vuln.php

public.jpg
この場合、「vuln.php」にディレクトリ・トラバーサルの脆弱性があるため、「sample.pdf」と異なるディレク
トリに存在する「public.jpg」もダウンロードできてしまうことが確認できる。
・ 「ディレクトリ・トラバーサル」の脆弱性か？
 別の階層（ディレクトリ）のファイルをダウンロードできるため、脆弱性の可能性がある
・ 不正な行為ではないか？
 調査でダウンロードした「sample.pdf」、「public.jpg」はウェブサイト上で公開している
ただし！
・ 絶対にインターネット上で非公開なファイルにアクセスしない・ インターネット上で非公開なファイルや「vuln.php」といったソースコードはダウンロードしてはいけない

図1-6. 安全な「ディレクトリ・トラバーサル」の脆弱性の調査手順

図 1-6 の手順
（3）
ではサーバ上で公開していることをあらかじめ確認したファイル「public.jpg」
をダウンロードしています。これは「ディレクトリ・トラバーサル」の安全な見つけ方です。しかし、
図 1-5 にあるようにインターネット上で非公開とされているファイル名「../../secret/key.txt」を指定すると、「key.txt」がダウンロードできてしまうことがあります。非公開ファイルの不用意な閲覧は問題行為と解釈される可能性があり、図 1-5 に記載されている方法は行うべきではあり
ません。
（ *9）
「SQL インジェクション」などウェブサイトにおける他の脆弱性にもいえることですが、脆弱性は安全な方法で見つけてください。脆弱性を見つける前には「情報セキュリティ早期警戒パートナーシップガイドライン」（*10）の「発見者が心得ておくべき法的な論点」を参考にして、その見つけ方が安全であるか、今一度確認してください。なお、「ディレクトリ・トラバーサル」の脆弱性を届ける場合は、前述の手順（1）～（3）を脆弱性の証拠として提出してください。

（ *9）「SQL インジェクション」の脆弱性の届出において、認証回避やサーバ上のファイル削除・改ざんなどの行為をしたと認められる内容の届出は受け付けていません。
（ *10）
情報セキュリティ早期警戒パートナーシップガイドライン
http://www.ipa.go.jp/security/ciadr/partnership_guide.html

6

2. ソフトウェア等の脆弱性に関する取扱状況（詳細）2-1. ソフトウェア製品の脆弱性
2-1-1. 処理状況
図 2-1 のグラフはソフトウェア製品の脆弱性届出の処理状況について、四半期ごとの推移を示しています。2014 年 12 月末時点の届出の累計は 1,952 件で、今四半期に脆弱性対策情報を JVN
公表したものは 34 件（累計 959 件）でした。また、製品開発者が JVN 公表を行わず「個別対応」
したものは 4 件（累計 33 件）、製品開発者が「脆弱性ではない」と判断したものは 1 件（累計 75
件）、「不受理」としたものは 12 件（*11）（累計 272 件）、取扱い中は 613 件でした。613 件のうち、連絡不能開発者（*12）一覧へ新たに公表したのは 12 件で、2014 年 12 月末時点の累計は 163 件になりました。
657
1,157
2013年
12月末

819件 [55%]

585

240

28 70

合計 1,742

連絡不能開発者 126

699
1,194
2014年
3月末

28 70

851件 [55%]

593

245

連絡不能開発者 131

合計 1,787

734
1,235
2014年
6月末

880件 [56%]

28 73

592

254

連絡不能開発者 144

合計 1,827

1,288
771
2014年
9月末

29 74

925件 [58%]

578

260

連絡不能開発者 151

合計 1,866

取扱い終了811
1,339(51)
取扱い終了
(40)
75 不受理(1) 272 (12)個別対応 33(4) 脆弱性ではない

公表済み 959件 [57%]

2014年
12月末

(34)

0

200

400

600

800

1,000

1,200

取扱い中 613

合計 1,952

連絡不能開発者 163(12)

1,400

1,600

1,800

2,000

（ ）内の数値は今四半期に処理を終了もしくは連絡不能開発者となった件数［ ］内の数値は受理した届出のうち公表した割合

取扱い終了

公表済み

：JVN で脆弱性への対応状況を公表したもの

個別対応：JVN 公表を行わず、製品開発者が個別対応したもの

脆弱性ではない：製品開発者により脆弱性ではないと判断されたもの

不受理：告示で定める届出の対象に該当しないもの

取扱い中：製品開発者が調査、対応中のもの

連絡不能開発者：取扱い中のうち、連絡不能開発者一覧にて公表中のもの

図 2-1. ソフトウェア製品脆弱性の届出処理状況（四半期ごとの推移）（ *11）

内訳は今四半期の届出によるもの 4 件、前四半期までの届出によるもの 8 件。
連絡不能開発者一覧への公表および一覧からの削除が複数回行われた製品開発者の公表回数は、その累計を計上しています。

（ *12）

7

以下に、届出受付開始から今四半期までに届出のあったソフトウェア製品の脆弱性 1,952 件のうち、不受理を除いた 1,680 件の届出を分析した結果を記載します。
2-1-2. ソフトウェア製品別届出件数
図 2-2、図 2-3 のグラフは、届出された製品の種類別の分類を示しています。図 2-2 は製品種類別割合を、図 2-3 は過去 2 年間の届出件数の推移を四半期ごとに示したものです。
累計では、「ウェブアプリケーションソフト」が最も多く 37%となっています。今四半期の届出件数は、「ウェブアプリケーションソフト」が最も多く、次いで「ルータ」となっています。
ソフトウェア製品の製品種類別の届出状況
ウェブアプリケーションソフト
ウェブブラウザ
ファイル管理ソフト
グループウェア
アプリケーション開発・実行環境
ルータ
メールソフトOS
システム管理ソフト
アンチウイルスソフト
ウェブサーバ
その他

90件
80件

37%

15%

70件

(36%)

60件

2%
2%
3%
3%
3%

50件
40件
30件

6%

20件

6%

10件

(6%)

7%

(7%)

7%

(8%)

9%

(9%)

※その他には、データベース、携帯機器などがあります。
( 1,680件の内訳、グラフの括弧内は前四半期までの数字)

0件
1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q
2013
2014

( 過去2年間の届出内訳)

図2-2．届出累計の製品種類別割合

図2-3．四半期ごとの製品種類別届出件数

図 2-4、
図 2-5 のグラフは、届出された製品のライセンスを「オープンソースソフトウェア」（OSS）と「それ以外」で分類しています。図 2-4 は届出累計の分類割合を、図 2-5 は過去 2 年間の届出件数の推移を四半期ごとに示したものです。
累計では、オープンソースソフトウェアが 30%を占めています。オープンソースソフトウェアの件数は、2013 第 3 四半を除き 10 件前後で推移しています。
オープンソースソフトウェアの脆弱性の届出状況
オープンソースソフトウェア
2

それ以外

30%
(31%)

15

15

76

66

1Q 2Q
2013
（1,680件の内訳、グラフの括弧内は前四半期までの数字）

図2-4．届出累計のオープンソースソフトウェア割合

8

7
32

31 26

70%
(69%)

13

9

3Q

4Q

69

13
9
23 18

1Q 2Q
2014

3Q

90件
80件
70件
60件
50件
40件
30件
20件
10件
0件

4Q

(過去2年間の届出内訳)

図2-5．四半期ごとのオープンソースソフトウェア
届出件数(四半期別推移)

図 2-6、図 2-7 のグラフは、ソフトウェア製品の届出をスマートフォン向けアプリ（以降「スマホアプリ」）と「それ以外」で分類しています。図 2-6 は過去 2 年間の四半期ごとの届出件数の推移を、図 2-7 は届出受付開始から今四半期末までの届出累計について、JVN 公表までに要した日数の割合を示しています。「スマホアプリ」に関する届出は、2013 年第 3、第 4 四半期に急増しましたが、それ以降は 5 件前後となっています。
受理から 45 日以内に対策情報を JVN 公表した割合は「スマホアプリ」
が 27%（前四半期は 28%）、「それ以外」が 33%（前四半期は 34%）でした。

スマートフォン向けアプリの届出状況
45日以内

スマホアプリ
90件
80件
70件
60件
50件
40件
30件
20件
10件
0件

46日以上

それ以外

33

スマホアプリ

27%

73%

それ以外

33%

67%

29
80

34

33

12

45

46

8

1Q 2Q
2013

3Q

4Q

32

31

7

5

4

2

1Q 2Q
2014

3Q

4Q

23

0%

50%

100%

図2-7．スマートフォン向けアプリとそれ以外の
JVN公表までの日数の割合

図2-6．四半期ごとのスマートフォン向けアプリ
届出件数

2-1-3. 脆弱性の原因と影響別件数
図 2-8、図 2-9 のグラフは、届出された脆弱性の原因を示しています。図 2-8 は届出累計の脆弱性の原因別割合を、
図 2-9 は過去 2 年間の原因別の届出件数の推移を四半期ごとに示しています。
累計では、「ウェブアプリケーションの脆弱性」が過半数を占めています。また、今四半期の届出件数は「ウェブアプリケーションの脆弱性」が最多でした。

ソフトウェア製品の脆弱性の原因別の届出状況
ウェブアプリケーションの脆弱性

90件

ファイルのパス名、内容のチェックの不備

80件

バッファのチェックの不備

70件

仕様上の不備3%

アクセス制御の不備

その他実装上の不備 （※）

24%

60件

53%
(53%)

50件

その他ウェブに関連する不備※その他実装上の不備には、証明書の検証に関する不備、
セキュアコンテキストの提供の不備やサービス運用妨害などがあります。

40件
30件

20件

3%(3%)
4% (5%)
5% (5%)

10件
0件
1Q 2Q
2013

8%
(8%)

(1,680件の内訳、グラフの括弧内は前四半期までの数字)

3Q

4Q

1Q 2Q
2014

3Q

4Q

(過去2年間の届出内訳)

図2-8．届出累計の脆弱性の原因別割合

図2-9．四半期ごとの脆弱性の原因別届出件数9図 2-10、図 2-11 のグラフは、届出された脆弱性がもたらす影響を示しています。図 2-10 は届
出累計の影響別割合を、図 2-11 は過去 2 年間の影響別届出件数の推移を四半期ごとに示しています。累計では「任意のスクリプトの実行」が最も多く、次いで「情報の漏洩」となっています。
今四半期は、「任意のスクリプト実行」が最も多く、次いで「任意のファイルへのアクセス」が多く届出されました。なお、2013 年第 3、第 4 四半期の「その他」が多いのは、「ファイルのパ
ス名、内容のチェックの不備」によりもたらされる影響が「その他」に分類されたためです。

ソフトウェア製品の脆弱性がもたらす影響別の届出状況
任意のスクリプトの実行

90件

情報の漏洩

80件

任意のコードの実行

16%

サービス不能任意のファイルへのアクセス
任意のコマンドの実行

アクセス制限の回避
データベースの不正操作
その他

70件

37%
(37%)

なりすまし

60件
50件

2%
3%
3%
5%

40件

30件
20件
10件

7%
(7%)
8%
(8%)

0件

8%
(9%)

11%
(11%)

(1,680件の内訳、グラフの括弧内は前四半期までの数字)

図2-10．届出累計の脆弱性がもたらす影響別割合

1Q 2Q
2013

3Q

4Q

1Q 2Q
2014

3Q

4Q

(過去2年間の届出内訳)

図2-11．四半期ごとの脆弱性がもたらす影響別
届出件数(四半期別推移)10

2-1-4. 調整および公表件数
JPCERT/CC は、本制度に届け出られた脆弱性情報のほか、海外の製品開発者や CSIRT などか
らも脆弱性情報の提供を受けて、国内外の関係者と調整を行っています。これらの脆弱性に対する製品開発者の対応状況は、IPA と JPCERT/CC が共同運営している脆弱性対策情報ポータルサ
イト JVN（Japan Vulnerability Notes）（URL：http://jvn.jp/ ）に公表しています。表 2-1、図 2-12のグラフは、公表件数を情報提供元別に集計し、今四半期の公表件数、過去 3 年分の四半期ごとの公表件数の推移等を示したものです。
表 2-1．脆弱性の提供元別 脆弱性公表件数

情報提供元
今期件数
累計
国内外の発見者からの届出、製品開発者から自社製品の届出を受け
①
34 件
959 件
JVN で公表した脆弱性② 海外 CSIRT 等から脆弱性情報の提供を受け JVN で公表した脆弱性
31 件 1,169 件
合計65 件 2,128 件
国内外の発見者からの届出
国内外の発見者からの届出(累計)

四半期件数

80件
70件
60件
50件
40件
30件
20件
10件
0件

792

756

1,138 1,169 1,200件
1,000件
959

925

880

851

累計件数

800件

600件
400件
200件

26 32 33 36 28 39 25 43 30 34 37 37 26 28 34 35 32 53 29 39 45 38 34 31
1Q
2012

（1）

819

785

759

722

692

667

639

606

1,100
1,008 1,061

973

945

908

874

831

海外のCSIRTからの連絡
海外のCSIRTからの連絡（累計）

2Q

3Q

4Q

1Q
2013

2Q

3Q

4Q

1Q
2014

2Q

3Q

0件

4Q

図2-12．ソフトウェア製品の脆弱性対策情報の公表件数

国内外の発見者および製品開発者から届出を受け JVN で公表した脆弱性

届出受付開始から今四半期までに対策情報を JVN 公表した脆弱性（959 件）について、図 2-13
は受理してから JVN 公表するまでに要した日数を示したものです。45 日以内は 33%、45 日を超過した件数は 67%でした。表 2-2 は過去 3 年間において 45 日以内に JVN 公表した件数の割合推移を四半期ごとに示したものです。製品開発者は脆弱性が悪用された場合の影響を認識し、迅速な対策を講じる必要があります。
33% (45日以内の公表)全体（959件)

88件
0～
10日

0%
0日～10日

75件

69件

81件

184件

11～
20日

21～
30日

31～45日46～100日

10%

20%

30%

11日～20日

21日～30日40%
31日～45日

128件

50%

58件

101～200日

60%

46日～100日

276件
201～
300日

70%

301日～

80%

101日～200日

90%

100%

201日～300日

301日～

図2-13．ソフトウェア製品の脆弱性公表日数

表 2-2．45 日以内に JVN 公表した件数の割合推移（四半期ごと）
2012
1Q

2Q

3Q

4Q

2013
1Q

2Q

3Q

4Q

2014
1Q

2Q

3Q

4Q

34%

34%

35%

34%

33%

33%

33%

34%

34%

34%

33%

33%

11

表 2-3 は国内の発見者および製品開発者から受けた届出 34 件のうち、今四半期に JVN 公表した
脆弱性を深刻度別に示しています。オープンソースソフトウェアに関するものが 9 件（表 2-3 の*1）、複数開発者・製品に影響がある脆弱性が 2 件（表 2-3 の*2）、組込みソフトウェア製品の脆弱性が 10 件（表 2-3 の*3）、制御システムの脆弱性に関するものが 1 件（表 2-3 の*4）ありま
した。
表 2-3．2014 年第 4 四半期に JVN で公表した脆弱性
項番脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値

脆弱性の深刻度=レベル III（危険）、CVSS 基本値=7.0～10.0「GIGAPOD」における ファイルサーバソフト「GIGAPOD」には、Apache HTTP
2014 年
サービス運用妨害(DoS) Server の脆弱性(CVE-2011-3192)に起因するサービス
10 月 16の脆弱性
運用妨害(DoS)の脆弱性がありました。このため、第三日者により応答不能な状態にされる可能性がありました。

7.8「QNAP QTS」における Turbo NAS 用の OS「QTS」には、GNU Bash の脆弱性
OS コマンド・インジェ (JVNVU#97219505)に起因する OS コマンド・インジェ 2014 年
2
クションの脆弱性
クションの脆弱性がありました。このため、第三者によ 10 月 28（*3）
りサーバ上で任意のコマンドを実行される可能性があ 日
りました。

10.0

1

複数のサイボウズ製品
におけるバッファオー
3（*2） バーフローの脆弱性

複数のサイボウズ製品には、バッファオーバーフローの2014 年
脆弱性がありました。このため、第三者により応答不能
11 月 11な状態にされたり、任意のコードを実行されたりする可日能性がありました。

9.0「一太郎」シリーズにお ワープロソフト「一太郎」シリーズには、文書ファイル
2014 年
いて任意のコードが実 を読み込む際の処理に問題がありました。このため、第4
11 月 13（*2） 行される脆弱性
三者により任意のコードが実行される可能性がありま
日
した。

9.3

「ARROWS Me F-11D」 Android 端末「ARROWS Me F-11D」には、当該製品のにおける任意の領域に 任意の領域にアクセス可能な脆弱性がありました。この 2014 年
5
アクセス可能な脆弱性 ため、第三者により当該製品に内蔵されているフラッシ 12 月 2（*3）
ュメモリの内容を取得されたり、改ざんされたりする可 日能性がありました。

7.2

i-HTTPD 付属「ファイル 掲示板ソフト「ファイルアップロード BBS」には、SSI2014 年
アップロード BBS」に ディレクティブが記載されたファイルの処理に不備が12 月 9
おいて任意のコマンド ありました。このため、サーバ上で任意のコマンドを実日が実行される脆弱性
行される可能性がありました。

7.5

6

アライドテレシス製の複数の製品におけるバ7（*3） ッファオーバーフローの脆弱性

アライドテレシス製のルータおよびスイッチには、バッ2014 年
ファオーバーフローの脆弱性がありました。このため、12 月 18
第三者により任意のコードを実行される可能性があり
日
ました。

10.0

脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.0～6.9「Huawei E5332」にお ネットワーク機器「Huawei E5332」には、サービス運2014 年
けるサービス運用妨害 用妨害(DoS)の脆弱性がありました。このため、第三者
8
10 月 10（*3） (DoS)の脆弱性により応答不能な状態にされる可能性がありました。項日
番 9 とは異なる問題です。

5.5「Huawei E5332」にお ネットワーク機器「Huawei E5332」には、サービス運2014 年
けるサービス運用妨害 用妨害(DoS)の脆弱性がありました。このため、第三者
9
10 月 10（*3） (DoS)の脆弱性により応答不能な状態にされる可能性がありました。項日
番 8 とは異なる問題です。

5.5

12

項番

脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値「BirdBlog」におけるク ウェブログシステム「BirdBlog」には、ウェブページを2014 年
10 ロスサイト・スクリプテ 出力する際の処理に問題がありました。このため、第三10 月 16（*1） ィングの脆弱性者によりウェブページにスクリプトを埋め込まれる可日
能性がありました。

4.3「Aflax」におけるクロス JavaScript ライブラリ「Aflax」には、クロスサイト・ス
2014 年
11 サイト・スクリプティン クリプティングの脆弱性がありました。このため、第三10 月 16（*1） グの脆弱性者によりウェブページにスクリプトを埋め込まれる可日
能性がありました。

4.3

保健サービス管理アプリ「スマ保」には、SSL/TLS サ2014 年
ーバ証明書の検証不備の脆弱性が存在しました。このた
10 月 23
め、中間者攻撃による暗号通信の盗聴などが行われる可日
能性がありました。

4.0「OpenAM」におけるサ アクセス管理ソフト「OpenAM」には、Cookie の処理 2014 年
13ービス運用妨害(DoS)の に不備がありました。このため、第三者により応答不能 11 月 10（*1）
脆弱性な状態にされる可能性がありました。
日

6.8

12

Android 版「スマ保」における SSL/TLS サーバ
証明書の検証不備の脆
弱性「Direct Web Remoting(DWR)」における XML
14
外部実体参照(XXE)に関
（*1）
する脆弱性

ウェブアプリケーションフレームワーク「Direct Web
Remoting (DWR)」には、XML 外部実体参照(XXE)に関 2014 年
する脆弱性がありました。このため、第三者によりサー 11 月 14
バ上の任意のファイルを読みとられる可能性がありま 日
した。

5.8

「Direct Web Remoting ウェブアプリケーションフレームワーク「Direct Web(DWR)」におけるクロス Remoting (DWR)」には、クロスサイト・スクリプティ 2014 年
15
サイト・スクリプティン ングの脆弱性がありました。このため、第三者によりウ 11 月 14
（*1）
グの脆弱性
ェブページにスクリプトを埋め込まれる可能性があり 日
ました

4.3

「iLogScanner」におけ ウェブサイトの攻撃兆候検出ツール「iLogScanner」に2014 年るクロスサイト・スクリ は、クロスサイト・スクリプティングの脆弱性がありま
11 月 14
プティングの脆弱性した。このため、第三者により検出結果の HTML ファ
日
イルにスクリプトを埋め込まれる可能性がありました。

5.0

BSD 系 OS におけるサー FreeBSD、NetBSD、OpenBSD などの Net/2 をベース
2014 年
17 ビス運用妨害(DoS)の脆 にした BSD 系 OS には、TCP セッションタイマーの処
11 月 21（*1） 弱性
理に問題がありました。このため、第三者により応答不日
能な状態にされる可能性がありました。

4.3「SEIL」シリーズルータ ルータ「SEIL」シリーズには、NTP リクエストの処理
2014 年
18 におけるサービス運用 に問題がありました。このため、第三者によりリソース
12 月 1（*3） 妨害(DoS)の脆弱性を消費されたり、踏み台として DDoS 攻撃に悪用され日たりする可能性がありました。

5.0「SEIL」シリーズルータ ルータ「SEIL」シリーズには、特定のパケットの処理 2014 年
19におけるサービス運用 に問題がありました。このため、第三者により当該製品 12 月 1（*3）
妨害 (DoS) の脆弱性を再起動させられる可能性がありました。
日

5.0

16

Texas Instruments「OMAP モバイル・プ
20 ロセッサ」の Syslink ド（*3） ライバにおける複数のデータ検証不備の脆弱性

プロセッサ間通信用の Syslink ドライバには、複数のデータ検証不備の脆弱性がありました。このため、第三者
2014 年
によりカーネルメモリの内容を取得されたり、任意のコ
12 月 2
ードを実行され root 権限を取得されたりする可能性が日ありました。

富士通製の複数の
21 Android 端末における（*3） OS コマンド・インジェ
クションの脆弱性

富士通製の複数の Android 端末には、OS コマンド・イ
2014 年
ンジェクションの脆弱性がありました。このため、第三12 月 2
者により当該製品の root 権限を取得されたり、任意の日
OS コマンドを実行されたりする可能性がありました。
13

6.2

6.2

項番

脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値「DBD::PgPP」における Perl モジュール「DBD::PgPP」には、SQL 文を組み立 2014 年
22
SQL インジェクション てる処理に問題がありました。このため、第三者により 12 月 3
（*1）
の脆弱性
任意の SQL 命令を実行される可能性がありました。
日

6.8

23

KENT-WEB 製「Clip
掲示板ソフト「Clip Board」には、クロスサイト・スク
2014 年
Board」におけるクロス リプティングの脆弱性がありました。このため、第三者
12 月 4
サイト・スクリプティン によりウェブページにスクリプトを埋め込まれる可能日
グの脆弱性性がありました。

4.3

24「i-HTTPD」におけるク ウェブサーバソフト「i-HTTPD」には、ウェブページを2014 年
ロスサイト・スクリプテ 出力する際の処理に問題がありました。このため、第三12 月 9
ィングの脆弱性者によりウェブページにスクリプトを埋め込まれる可日
能性がありました。項番 26 とは異なる問題です。

4.3

25

i-HTTPD 付属「おまけ 掲示板ソフト「おまけ BBS」には、ウェブページを出2014 年BBS」におけるクロスサ 力する際の処理に問題がありました。このため、第三者
12 月 9
イト・スクリプティング によりウェブページにスクリプトを埋め込まれる可能
日の脆弱性
性がありました。

5.0

26「i-HTTPD」におけるク ウェブサーバソフト「i-HTTPD」には、ウェブページを2014 年
ロスサイト・スクリプテ 出力する際の処理に問題がありました。このため、第三12 月 12
ィングの脆弱性者によりウェブページにスクリプトを埋め込まれる可日
能性がありました。項番 24 とは異なる問題です。

4.3「LinPHA」におけるクロ 画像ファイル管理ソフト「LinPHA」には、ウェブペー
2014 年
27 スサイト・スクリプティ ジを出力する際の処理に問題がありました。このため、12 月 9（*1） ングの脆弱性
第三者によりウェブページにスクリプトを埋め込まれ日る可能性がありました。

4.3

28

Android 版「TSUTAYA Android アプリ「TSUTAYA アプリ」には任意の Java の2014 年アプリ」における任意の メソッドが実行される脆弱性がありました。このため、12 月 18
Java のメソッドが実行 第三者により当該製品の権限で実行可能な任意の Java日
される脆弱性メソッドを実行される可能性がありました。

5.8

29

「WBS ガントチャート 課題管理ツール JIRA 用プラグイン「WBS ガントチャ
for JIRA」におけるクロ ート for JIRA」には、ウェブページを出力する際の処理 2014 年
スサイト・スクリプティ に問題がありました。このため、第三者によりウェブペ 12 月 18
ングの脆弱性ージにスクリプトを埋め込まれる可能性がありました。 日
項番 34 とは異なる問題です。

4.0

脆弱性の深刻度=レベル I（注意）、CVSS 基本値=0.0～3.9「FAST/TOOLS」におけ SCADA ソフト「FAST/TOOLS」には、XML 外部実体参2014 年
30 る XML 外部実体参照処 照(XXE)に関する脆弱性がありました。このため、第三11 月 28（*4） 理の脆弱性者によりサーバ上の任意のファイルを読みとられる可日
能性や応答不能な状態にされる可能性がありました。

2.4「LG Electronics 製モ 「LG Electronics 製モバイルアクセスルータ」のウェブ
バイルアクセスルータ」 管理インターフェースには、アクセス制限不備の脆弱性 2014 年
31にアクセス制限不備の がありました。このため、第三者により認証を回避して 12 月 2（*3）
脆弱性
機器が保持している情報を取得される可能性がありま 日
した。

3.3

Android 版「拡散性ミリ Android 用ゲームアプリ「拡散性ミリオンアーサー」に2014 年
オンアーサー」における は、認証情報の管理不備の脆弱性がありました。このた
12 月 4
情報管理不備の脆弱性 め、第三者により当該製品の認証情報を取得される可能日性がありました。

2.6「Chyrp」におけるクロ ブログサイト構築ソフト「Chyrp」には、ウェブページ
2014 年
33 スサイト・スクリプティ を出力する際の処理に問題がありました。このため、第12 月 10（*1） ングの脆弱性
三者によりウェブページにスクリプトを埋め込まれる
日可能性がありました。

3.5

32

14

項番

脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値「WBS ガントチャート 課題管理ツール JIRA 用プラグイン「WBS ガントチャ
for JIRA」におけるクロ ート for JIRA」には、エクスポートする際の処理に問題 2014 年
スサイト・スクリプティ がありました。このため、第三者によりウェブページに 12 月 18
ングの脆弱性スクリプトを埋め込まれる可能性がありました。項番 日
29 とは異なる問題です。

34

2.6

（*1）
：オープンソースソフトウェア製品の脆弱性（*2）：複数開発者・製品に影響がある脆弱性（*3）：組込みソフトウェアの脆弱性（*4）：制御システムの脆弱性（2）

海外 CSIRT 等から脆弱性情報の提供を受け JVN で公表した脆弱性

表 2-4、表 2-5 は JPCERT/CC が海外 CSIRT 等と連携し、今四半期に公表した脆弱性および対応状況を示しています。今四半期に公表した脆弱性は 31 件あり、表 2-4 は通常の脆弱性情報 30
件、表 2-5 には対応に緊急を要する Technical Cyber Security Alert の 1 件を示しています。
近年、Android 関連製品や OSS 製品の脆弱性に対する調整活動では、製品開発者が所在するアジア圏の調整機関、特に韓国の KrCERT/CC や中国の CNCERT/CC、台湾の TWNCERT との連携が増えています。これらの情報は、JPCERT/CC 製品開発者リスト（*13）に登録された製品開発者へ通知したうえ、JVN に掲載しています。
表 2-4．海外 CSIRT 等と連携した脆弱性および対応状況
項番

脆弱性

対応状況

1

Brocade Vyatta 5400 vRouter に複数の脆弱性

2

HP System Management Homepage (SMH) にクロスサイトスクリプティン 注意喚起として掲載
グの脆弱性

3

NetComm NB604N に格納型クロスサイトスクリプティングの脆弱性

注意喚起として掲載

4

Rejetto HFS (HTTP File Server) に null バイトの取扱いに関する脆弱性

注意喚起として掲載

5

Cryoserver における権限昇格の脆弱性

注意喚起として掲載

6

BMC Track-It! に複数の脆弱性

注意喚起として掲載

7

IBM WebSphere Application Server に複数の脆弱性

注意喚起として掲載

8

SSLv3 プロトコルに暗号化データを解読される脆弱性(POODLE 攻撃)

注意喚起として掲載
複数製品開発者へ通知

9

複数の Apple 製品の脆弱性に対するアップデート

注意喚起として掲載

10

Centreon に複数の脆弱性

注意喚起として掲載

11

複数の NAT-PMP デバイスが WAN 側から操作可能な問題

注意喚起として掲載
複数製品開発者へ通知

12

GNU Wget にシンボリックリンクの扱いに関する問題

注意喚起として掲載

13

drchrono Electronic Health Record (EHR) のウェブアプリケーションに複数 注意喚起として掲載
の脆弱性

14

Linksys SMART WiFi 対応ファームウェアに複数の脆弱性

注意喚起として掲載

15

uIP と lwIP の DNS リゾルバにキャッシュポイズニングの脆弱性

注意喚起として掲載

16

Android 版 IBM Notes Traveler クライアントに HTTP 経由でユーザ認証情 注意喚起として掲載
報を送信する問題

17

Microsoft Secure Channel (Schannel) に任意のコード実行が可能な脆弱性

緊急案件として掲載

18

Microsoft Windows OLE ライブラリに任意のコード実行が可能な脆弱性

緊急案件として掲載（ *13）JPCERT/CC 製品開発者リスト：https://jvn.jp/nav/index.html。

15

注意喚起として掲載

項番

脆弱性

対応状況

19

Microsoft Windows の Kerberos Key Distribution Center (KDC) に Privilege 緊急案件として掲載
Attribute Certificate (PAC) 署名検証不備の脆弱性

20

Zenoss Core に複数の脆弱性

注意喚起として掲載

21

Apple Safari における複数の脆弱性に対するアップデート

注意喚起として掲載

22

ISC BIND 9 に複数の脆弱性

注意喚起として掲載
複数製品開発者へ通知

23

再帰的名前解決を行う DNS リゾルバの実装に名前解決を無限に繰り返す問 注意喚起として掲載
題
複数製品開発者へ通知

24

Honeywell OPOS Suite にスタックバッファオーバーフローの脆弱性

注意喚起として掲載

25

EMC Documentum シリーズの製品に複数の脆弱性

注意喚起として掲載

26

CA Release Automation (旧 CA LISA Release Automation) に複数の脆弱性

注意喚起として掲載

27

複数の Dell iDRAC 製品にセッション管理に関する脆弱性

注意喚起として掲載

28

AppsGeyser で作成される Android アプリケーションに SSL 証明書の検 注意喚起として掲載
証不備の脆弱性が作り込まれる問題

29

Network Time Protocol daemon (ntpd) に複数の脆弱性

30

複数のブロードバンドルータに、脆弱性が存在するバージョンの Allegro 注意喚起として掲載
RomPager を使用している問題
複数製品開発者へ通知

注意喚起として掲載
複数製品開発者へ通知

表 2-5.米国 US-CERT（*14）と連携した脆弱性関連情報および対応状況
項番

脆弱性Apple iOS に対する攻撃手法 Masque Attack

1

2-1-5. 連絡不能案件の処理状況
図 2-14 は、2011 年 9 月末から 2014 年 12 月末までに、「連絡不能開発者」と位置づけて取扱った 185 件の処理状況の推移を示したものです。
2014 年 12 月末時点での処理状況は、185 件のうち、製品開発者との調整が再開したため連絡不能開発者一覧から削除したものは前四半期と変わらず 22 件で、製品開発者と連絡が取れないた
め公表しているものは 163 件（前四半期は 151 件）となりました。
「連絡不能」は、前期からの繰り越し 151 件と、今四半期の「新規公表」12 件の累計 163 件となりました。このうち、前四半期に新規公表した 8 件は製品開発者と連絡が取れなかったため
製品情報を追加する「追加情報公表」となりました。
また、「調整再開」22 件のうち 1 件は、製品開発者との調整を経て脆弱性対策情報の公表を完了したため、「調整再開（調整中）」から「調整再開（調整完了）」となりました。
連絡不能（新規公表）
前四半期

連絡不能（追加情報公表）
151

8

調整再開（調整中）

143

11

163
今四半期

0件

20件

40件

60件

80件

100件

United States Computer Emergency Readiness Team：米国の政府系 CSIRT。

16

合計 173

合計 185

120件 140件 160件 180件 200件
（ ）内の数値は前四半期との差分件数

図2-14．連絡不能開発者一覧の処理状況（ *14）

11

22（0）
10 12
(-1) (1)151 (8)12

調整再開（調整完了）
22

2-2. ウェブサイトの脆弱性
2-2-1. 処理状況
図 2-15 のグラフは、ウェブサイトの脆弱性届出の処理状況について、四半期ごとの推移を示したものです。2014 年 12 月末時点の届出の累計は 8,703 件で、今四半期中に取扱いを終了したものは 182 件（累計 7,817 件）でした。このうち「修正完了」したものは 163 件（累計 5,941 件）、「注意喚起」により処理を取りやめたものは 0 件（累計 1,130 件）、IPA およびウェブサイト運営者が「脆弱性ではない」と判断したものは 15 件（累計 471 件）でした。“「注意喚起」により処理を取りやめる”とは、多数のウェブサイトにおいて利用されているソフトウェア製品に修正プログラムが適用されていない、といった届出があった場合、届出されたウェブサイト以外でも影響を受ける可能性があるため、「注意喚起」で広く対策を呼びかけた上で処理を取りやめた
ものです。なお、ウェブサイト運営者への連絡は通常メールで行い、連絡が取れない場合は電話や郵送での連絡も行っています。しかしウェブサイト運営者への連絡手段がない場合などは「取扱不能」案件となります。今期その件数は 3 件（累計 91 件）でした。また「不受理」としたもの
は 1 件（累計 184 件）でした。取扱いを終了した累計 7,817 件のうち「修正完了」「脆弱性ではない」の合計 6,412 件は全て、ウェブサイト運営者からの報告もしくは IPA の判断により指摘した点が解消されていることが確認されています。「修正完了」のうち、ウェブサイト運営者が当
該ページの削除により対応したものは 49 件（累計 698 件）、ウェブサイト運営者が運用により被害を回避したものは 0 件（累計 28 件）でした。
7,080
2013年
12月末

5,308

69

[72%]

1,130

[72%]

1,130

[71%]

1,130

505 合計 7,585件

401 172

7,240
2014年
3月末

5,446

74

490

合計 7,730件

414 176

7,422
2014年
6月末

5,595

84

596

合計 8,018件

436 177

7,635
2014年
9月末

5,778

1,130

[71%]

取扱い終了 7,817(182)

修正完了 5,941(163) [70%]

2014年
12月末

0

1,000

2,000

676
183

合計 8,311件

脆弱性ではない

当該ページ削除
698(49)

3,000

88
456

運用で回避
28(0)

4,000

5,000

注意喚起 471
(15)
1,130

886

合計 8,703件

取扱い中取扱不能 91(3) 不受理 184(1)

6,000

7,000

8,000

9,000

（ ）内の数値は今四半期に処理を終了した件数［］内の数値は受理した届出のうち修正完了した割合

取扱い終了

修正完了
当該ページを削除
運用で回避
注意喚起
脆弱性ではない
取扱不能
不受理
取扱い中

： ウェブサイト運営者により脆弱性が修正されたもの： 修正完了のうち、当該ページを削除して対応したもの： 修正完了のうち、運用により被害を回避しているもの： IPA による注意喚起で広く対策実施を促した後、処理を取りやめたもの： IPA およびウェブサイト運営者が脆弱性はないと判断したもの： ウェブサイト運営者からの回答がなく、取扱いができないもの、
ウェブサイト運営者が対応しないと判断したもの： 告示で定める届出の対象に該当しないもの： ウェブサイト運営者が調査、対応中のもの

図 2-15.ウェブサイト脆弱性の届出処理状況（四半期ごとの推移）

17以下に、届出受付開始から今四半期までに届出のあったウェブサイトの脆弱性 8,703 件のうち、不受理を除いた 8,519 件の届出を分析した結果を記載します。
2-2-2. 運営主体の種類別の届出件数
図 2-16 のグラフは、届出された脆弱性のウェブサイト運営主体の種類について、過去 2 年間の届出件数の推移を四半期ごとに示しています。今四半期は全体の約 7 割を企業が占めています。
不明
個人
政府機関
教育・学術機関団体
地方公共団体企業（株式会社以外）
企業（株式・非上場）企業（株式・上場）

400件
350件
300件
250件
200件
150件

100件
50件
0件

1Q
2013

2Q

3Q

4Q

1Q
2014

2Q

3Q

4Q

図2-16．四半期ごとの運営主体の種類別届出件数

2-2-3. 脆弱性の種類・影響別届出
図 2-17、図 2-18 のグラフは、届出された脆弱性の種類を示しています。図 2-17 は届出受付開始から今四半期末までの届出累計の割合を、図 2-18 は過去 2 年間の届出件数の推移を四半期ごとに示しています（*15）。
累計では、「クロスサイト・スクリプティング」だけで 56%を占めており、次いで「DNS 情報の設定不備」「SQL インジェクション」となっています。「DNS 情報の設定不備」は 16%あり
ますが、2008 年から 2009 年にかけて多く届出されたのが反映されたものです。今四半期は「ディレクトリ・トラバーサル」の届出が急増し、「クロスサイト・スクリプティング」に匹敵する件数となりました。なお、この統計は本制度における届出の傾向であり、世の中に存在する脆弱性の傾向と必ずしも一致するものではありません。

ウェブサイトの脆弱性の種類別の届出状況
クロスサイト・スクリプティング
DNS情報の設定不備
SQLインジェクション
ディレクトリ・トラバーサル
ファイルの誤った公開
HTTPSの不適切な利用
その他

400件
350件

11%
2%
2%
(2%)
2%

300件

56%
(56%)

250件
200件

(2%)

150件

11%
(12%)

100件
50件

16%
(17%)

1Q 2Q
2013

3Q

(8,519件の内訳、グラフの括弧内は前四半期までの数字)

図2-17．届出累計の脆弱性の種類別割合（ *15）

4Q

0件
1Q 2Q 3Q 4Q
2014(過去2年間の届出内訳)

図2-18．四半期ごとの脆弱性の種類別届出件数

それぞれの脆弱性の詳しい説明については付表 2 を参照してください。

18

図 2-19、図 2-20 のグラフは、届出された脆弱性がもたらす影響別の分類です。図 2-19 は届出の影響別割合を、図 2-20 は過去 2 年間の届出件数の推移を四半期ごとに示しています。
累計では、「クロスサイト・スクリプティング」「DNS 情報の設定不備」「SQL インジェクシ
ョン」などにより発生する、「本物サイト上での偽情報の表示」「ドメイン情報の挿入」「デー
タの改ざん、消去」が全体の 8 割を占めています。今四半期は、「サーバ内ファイルの漏洩」が急増しました。これは、今四半期に「ディレクトリ・トラバーサル」の脆弱性が多く届出されたためです。

ウェブサイトの脆弱性がもたらす影響別の届出状況
本物サイト上への偽情報の表示
ドメイン情報の挿入
データの改ざん、消去
サーバ内ファイルの漏洩
個人情報の漏洩
Cookie情報の漏洩
なりすまし
利用者のセキュリティレベルの低下
その他

400件

6%
2%
2%
2%
3%
(3%)
4%
(2%)

350件
300件

54%
(54%)

250件
200件
150件
100件

11%
(12%)

50件
0件

16%
(17%)

1Q 2Q
2013

3Q

4Q

1Q 2Q
2014

3Q

4Q

(過去2年間の届出内訳)(8,519件の内訳、グラフの括弧内は前四半期までの数字)

図2-20．四半期ごとの脆弱性がもたらす影響別
届出件数

図2-19．届出累計の脆弱性がもたらす影響別割合

2-2-4. 修正完了状況
図 2-21 のグラフは、過去 3 年間のウェブサイトの脆弱性の修正完了件数を四半期ごとに示しています。2014 年第 4 四半期に修正を完了した 163 件のうち 110 件（67%）は、運営者へ脆弱関
連情報を通知してから修正完了までの日数が 90 日以内の届出です。今四半期は、90 日以内に修正完了した届出の割合が、前四半期（183 件中 142 件（78%））より減少しています。
表 2-5 は、過去 3 年間の修正が完了した全届出のうち、ウェブサイト運営者に脆弱性を通知してから、90 日以内に修正が完了した累計および割合を四半期ごとに示しています。
四半期件数

0-90日以内

91-300日以内

完了件数(四半期計)

301日以上

400件

300件

4,073

4,265

4,436

4,549

4,745

5,119

4,915

5,308

5,446

完了件数(累計)

5,595

累計件数

5,778 5,941

6,000件
5,000件
4,000件

204
200件

218

192

196

171

100件

170

183

189

149

138

113

3,000件163

142

2,000件

110

27 14

31 22

3Q

4Q

0件

1,000件
0件

1Q
2012

2Q

3Q

4Q

1Q
2013

2Q

3Q

4Q

1Q
2014

2Q

図2-21．ウェブサイトの脆弱性の修正完了件数
表 2-5．90 日以内に修正完了した累計およびその割合の推移
2012
1Q

2Q

3Q

4Q

2013
1Q

2Q

3Q

4Q

2014
1Q

2Q

3Q

4Q

修正完了件数

4,073

4,265

4,436

4,549

4,745

4,915

5,119

5,308

5,446

5,595

5,778

5,941

90 日以内の件数

2,706

2,832

2,930

2,993

3,147

3,244

3,400

3,557

3,635

3,730

3,872

3,982

90 日以内の割合

66%

66%

66%

66%

66%

66%

66%

67%

67%

67%

67%

67%

19

図 2-22、図 2-23 は、ウェブサイト運営者に脆弱性を通知してから修正されるまでに要した日
数を脆弱性の種類別に分類し、その傾向を示しています（*16）。全体の 48%の届出が 30 日以内、全体の 67%の届出が 90 日以内に修正されています。

67%(90日以内の修正)
48%(30日以内の修正)
その他（333件）
OSコマンドインジェクション（38件）
メールの第三者中継（40件）
認証に関する不備（53件）
セッション管理の不備（74件）
ディレクトリ・トラバーサル（79件）
HTTPレスポンス分割（104件）
ファイルの誤った公開（140件）
DNS情報の設定不備（541件）
SQLインジェクション（731件）
クロスサイト・スクリプティング（3,808件）

900件

800件
700件
600件
500件

14%
12%
10%
9%

9%

7%

7%
400件

10%

7%

5%
4%

300件
200件

3%

3%

2日

3日

100件
0件
0日

1日

4日
6日
11日
21日
31日
51日
91日 201日 301日～～5日 ～10日 ～20日 ～30日 ～50日 ～90日 ～200日 ～300日

図2-22．ウェブサイトの修正に要した日数

クロスサイト・スクリプティング（3,808件）
SQLインジェクション（731件）
DNS情報の設定不備（541件）

ファイルの誤った公開（140件）
HTTPレスポンス分割（104件）
ディレクトリ・トラバーサル（79件）
セッション管理の不備（74件）
認証に関する不備（53件）
メールの第三者中継（40件）
OSコマンドインジェクション（38件）
その他（333件）

0～10日

11日～20日

0%

20%

40%

21日～30日

31日～50日

51日～90日

60%
91日～200日

80%

100%

201日～300日

301日～

図2-23．ウェブサイトの修正に要した脆弱性種類別の日数の傾向（ *16）

運営者から修正完了の報告があったもの、および、脆弱性が修正されたと IPA で判断したものも含めて示しています。なお、0 日は詳細情報を通知した当日に修正されたもの、または運営者へ詳細情報を通知する前に修正されたものです。

20

2-2-5. 取扱中の状況
ウェブサイト運営者から脆弱性を修正した旨の報告が無い場合、IPA はウェブサイト運営者に 1～2 ヶ月毎に電子メールや電話、郵送などの手段でウェブサイト運営者に連絡を試み、脆弱性が悪用されて攻撃を受けた場合の危険性を分かりやすく解説し、脆弱性対策の実施を促しています。
図 2-24 は、ウェブサイトの脆弱性のうち、取扱いが長期化（IPA からウェブサイト運営者へ脆弱性を通知してから、90 日以上脆弱性を修正した旨の報告が無い）しているものについて、経過日数別の件数を示したものです。これらの合計は 448 件（前四半期は 402 件）です。
取扱いが長期化しているものの中には、ウェブサイトの情報が盗まれてしまうなどの危険性がある、深刻度の高い SQL インジェクションという脆弱性も多く含まれています。

140件
120件
100件
80件
60件
40件
20件
0件

（長期化 合計448件）

95
4
12

79

90～
199日

130

その他
SQLインジェクション
クロスサイト・スクリプティング

68
6

45

30

32

23

11

23

6
28

3
5
15

19

30

2
2
19

200～
299日

300～
399日

400～
499日

500～
599日

29
26

11

11

12

2
8
1

1
1
10

75

0
11

0
0
11

600～
699日

700～
799日

800～
899日

900～
999日

1000日
以上

図2-24．取扱いが長期化(90日以上経過)しているウェブサイトの経過日数と脆弱性の種類
表 2-6 は、過去 2 年間の四半期末時点で取扱い中の届出と、取扱いが長期化している届出の件数および、その割合を示しています。
表 2-6．取扱いが長期化している届出件数および割合の四半期ごとの推移
2013
1Q

2Q

3Q

4Q

2014
1Q

2Q

3Q

4Q

取扱い中の件数

474

473

504

505

490

596

676

886

長期化している件数

301

307

302

358

357

353

402

448

長期化している割合

64%

65%

60%

71%

73%

59%

59%

51%

21

3. 関係者への要望
脆弱性の修正促進のための、各関係者への要望は以下のとおりです。

3-1. ウェブサイト運営者
多くのウェブサイトで利用しているソフトウェア製品に脆弱性が発見されています。自身のウェブサイトでどのようなソフトウェア製品を利用しているかを把握し、脆弱性対策を実施することが必要です。
なお、脆弱性の理解にあたっては、以下の IPA が提供するコンテンツが利用できます。
⇒「知っていますか？脆弱性（ぜいじゃくせい）」： http://www.ipa.go.jp/security/vuln/vuln_contents/⇒「安全なウェブサイト運営入門」： http://www.ipa.go.jp/security/vuln/7incidents/

また、対策実施にあたっては、以下のコンテンツが利用できます。
⇒「安全なウェブサイトの作り方」：http://www.ipa.go.jp/security/vuln/websecurity.html⇒「安全な SQL の呼び出し方」：http://www.ipa.go.jp/security/vuln/websecurity.html⇒「Web Application Firewall 読本」：http://www.ipa.go.jp/security/vuln/waf.html

また、ウェブサイトの脆弱性診断実施にあたっては、以下のコンテンツが利用できます。
⇒「ウェブ健康診断仕様」：http://www.ipa.go.jp/security/vuln/websecurity.html⇒「動画で知ろう！クロスサイト・スクリプティングの被害！」（約 7 分）：http://www.ipa.go.jp/security/keihatsu/videos/index.html#eng

3-2. 製品開発者
JPCERT/CC は、ソフトウェア製品の脆弱性関連情報を、「製品開発者リスト」に基づき、一般
公表日の調整等を行います。迅速な調整が進められるよう、「製品開発者リスト」に登録してください（URL：https://www.jpcert.or.jp/vh/regist.html）。また、製品開発者自身が自社製品の脆弱性関連情報を発見した場合も、対策情報を利用者へ周知するために JVN を活用することができます。
JPCERT/CC もしくは IPA へ連絡してください。
なお、製品開発にあたっては、以下のコンテンツが利用できます。
⇒「組込みシステムのセキュリティへの取組みガイド（2010 年度改訂版）」：
http://www.ipa.go.jp/security/fy22/reports/emb_app2010/⇒「ファジング：製品出荷前に機械的に脆弱性をみつけよう」：
http://www.ipa.go.jp/security/vuln/fuzzing.html⇒「Android アプリの脆弱性の学習・点検ツール AnCoLe」：
http://www.ipa.go.jp/security/vuln/ancole/index.html

3-3. 一般のインターネットユーザー
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がける必要があります。ソフトウ
ェアを利用する場合は、脆弱性対策を実施してから利用してください。
なお、一般インターネットユーザー向けには、以下のツールを提供しています。
⇒「MyJVN 情報収集ツール」：http://jvndb.jvn.jp/apis/myjvn/mjcheck.html
脆弱性対策情報を効率的に収集するためのツール。
⇒「MyJVN バージョンチェッカ」：http://jvndb.jvn.jp/apis/myjvn/vccheck.html
利用者の PC、サーバ上にインストールされたソフトウェア製品のバージョンを容易にチェックする等の機能。

3-4. 発見者
脆弱性関連情報の適切な流通のため、届出した脆弱性関連情報については、脆弱性が修正されるまでは、第三者に漏れないよう、適切に管理してください。
22

付表 1. ソフトウェア製品の脆弱性の原因分類
脆弱性の原因届出において説明想定された脅威1

設定情報の漏洩通信の不正中継アクセス制御の不 アクセス制御を行うべき個所において、ア
なりすまし
備
クセス制御が欠如している。
任意のスクリプトの実行
認証情報の漏洩2

アクセス制限の回避
価格等の改ざん
サービス不能
資源の枯渇
ウェブアプリケーションに対し、入力され重要情報の漏洩た情報の内容の解釈や認証情報の取扱い、情報の漏洩
ウェブアプリケー 出力時の処理に問題がある。
「クロスサイセッション・ハイジャック
ションの脆弱性
ト・スクリプティング」攻撃や「SQL イ
通信の不正中継ンジェクション」攻撃などに利用されてし
なりすまし
まう。
任意のコマンドの実行
任意のスクリプトの実行
任意のファイルへのアクセス
認証情報の漏洩3

仕様上の不備4

ウェブブラウザやメールクライアントソ
証明書の検証に関 フトに証明書を検証する機能が実装され 証明書の確認不能
する不備ていない、または、検証が正しく行われず なりすましに、偽の証明書を受けいれてしまう。

5

本来、厳しい制限のあるセキュリティコン アプリケーションの異常終了
セキュリティコン
テキストで取り扱うべき処理を、緩い制限 情報の漏洩
テキストの適用ののセキュリティコンテキストで処理して 任意のコードの実行不備
しまう。
任意のスクリプトの実行

6

想定外の長さの入力が行われた場合に、長サービス不能バッファのチェッ さをチェックせずバッファに入力してし任意のコードの実行
クの不備
まう。「バッファオーバーフロー」攻撃に任意のコマンドの実行利用されてしまう。

7

処理の際のパラメータとして指定されているディレクトリ名やファイル名、ファイ
アプリケーションの異常終了
ルの内容をチェックしていない。任意のデファイルのパス名、
サービス不能ィレクトリのファイルを指定できてしま
内容のチェックの資源の枯渇
い、「ディレクトリ・トラバーサル」攻撃
不備
任意のファイルへのアクセスに利用されてしまう。また、破損したファ
認証情報の漏洩
イルや不正に書き換えられたファイルを処理した際に不具合が生じる。

RFC 等の公開された規格に準拠して、設 サービス不能
計、実装した結果、問題が生じるもの。 資源の枯渇

23

付表 2. ウェブサイトの脆弱性の分類
脆弱性の種類

深刻度

説明

届出において想定された脅威高個人情報の漏洩
一般に公開すべきでないファイルが公開さ サーバ内ファイルの漏れており、自由に閲覧できる状態になって 洩いる
データの改ざん、消去
なりすまし

2

パス名パラメータの未チェック

高ユーザからの入力を処理する際のパラメー
タとして指定されているファイル名を、ユ サーバ内ファイルの漏ーザが変更し、ウェブサーバ上の任意のデ 洩ィレクトリのファイルを指定できてしまう

3

ディレクトリ･トラバーサル

高ウェブサーバ上のディレクトリのアクセス 個人情報の漏洩権を超えて、本来許可されている範囲外の サーバ内ファイルの漏
ディレクトリにアクセスできる洩

4

セッション管理の不備高セッション管理に、推測可能な情報を使用
Cookie 情報の漏洩しているため、他のユーザの情報が容易に
個人情報の漏洩
推測でき、他のユーザになりすまして、サ
なりすましービスを利用することができる

5

SQL インジェクション

高

個人情報の漏洩
入力フォームなどへ SQL コマンド（データサーバ内ファイルの漏
ベースへの命令）を入力し、データベース
洩
内の情報の閲覧、更新、削除などができる
データの改ざん、消去

6

DNS 情報の設定不備

高

DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名の持ち主 ドメイン情報の挿入
であるかのようにふるまえてしまう中

外部の第三者により、他のサーバへのアクセスを中継するサーバとして利用され、不踏み台
正アクセスなどの際にアクセス元を隠すた
めの踏み台にされてしまう

1

ファイルの誤った公開7

オープンプロキシ

8

クロスサイト･
スクリプティング

中9

クロスサイト・リク
エスト・フォージェ
リ

中HTTP レスポンス分
10 割

セキュリティ設定の11 不適切な変更

リダイレクタの不適
12
切な利用

Cookie 情報の漏洩
サーバ内ファイルの漏
ユーザの Cookie 情報を知らないうちに転 洩送させたり、偽の情報を表示させたりする 個人情報の漏洩
ような罠のリンクをユーザにクリックさ データの改ざん、消去
せ、個人情報等を盗むことができる
なりすまし
本物サイト上への偽情報の表示
ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそかにア
データの改ざん、消去
クセスさせ、登録情報の変更や商品の購入をさせることができる

中

攻撃者がユーザに対し、悪意のある要求をウェブサーバに送信するように仕向けるこ
ウェブキャッシュ情報とで、ウェブサーバからの応答を分割させのすり替えて応答内容をすり替え、ユーザに対して偽のページを表示させることができる

中

ユーザに対し、ソフトウェアをインストー
ルさせたり、ブラウザのセキュリティレベ 利用者のセキュリティ
ルを下げるよう指示することでクライアン レベルの低下
ト PC のセキュリティ設定を低下させる

中

ウェブサーバに設置したリダイレクタが悪踏み台
意あるリンクへの踏み台にされたり、その本物サイト上への偽情
ウェブサイト上で別のサイト上のページを報の表示表示させられてしまう

24

脆弱性の種類

深刻度

届出において想定された脅威説明中

ウェブサイトのサービスやブラウザの機能として提供されているフィルタリング機能 利用者のセキュリティが回避される問題。これにより、本来制限 レベルの低下されるはずのウェブページを閲覧してしま なりすましう

中

攻撃者がウェブアプリケーションを介してウェブサーバの OS コマンドを実行できてしまい、サーバ内ファイルの閲覧やシステ 任意のコマンドの実行
ム操作、不正なプログラムの実行などを行
われてしまう低利用者が入力した内容を管理者が指定した
メールアドレスに送信する機能で、外部のメールシステムの不正利用者が宛先メールアドレスを自由に指定利用できてしまい、迷惑メール送信の踏み台に悪用されるHTTPS の不適 切 な
16 利用

低

HTTPS による暗号化をしているが、暗号の選択や設定が十分でなかったり、ウェブサ
イトでのユーザへの説明に間違いがある、 なりすまし
または、ウェブサイトの設計上、ユーザから証明書が確認できない

17 価格等の改ざん

低ショッピングサイトにおいて、価格情報等
が利用者側で書き換えられる。書き換えに データの改ざんよる被害は、ウェブサイト側に限定される

1314

フィルタリングの回避OS コマンド・インジ
ェクション

15 メールの第三者中継

・API: Application Program Interface

・RFC: Request For Comments

・CGI: Common Gateway Interface

・SQL: Structured Query Language

・DNS: Domain Name System

・SSI: Server Side Include

・HTTP: Hypertext Transfer Protocol

・SSL: Secure Socket Layer

・HTTPS: Hypertext Transfer Protocol Security

・TCP: Transmission Control Protocol

・URI: Uniform Resource Identifier・URL: Uniform Resource Locator・ISAKMP : Internet Security Association
Key Management Protocol: Multipurpose Internet Mail Extension

・MIME

付図１．
「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み）
脆弱性関連情報流通体制

脆弱性関連
情報届出

ソフトウェア
製品の脆弱性

脆弱性関連
情報通知

受付・分析機関

発
見
者

報告された
脆弱性関連情報の内容確認・検証

対応状況の集約、
公表日の調整等

調整機関

脆弱性対策情報ポータル

対応状況等
公表

公表日の決定、
海外の調整機関との連携等
ソフトウェア
システム
製品開発者
導入支援者
検証、対策実施

分析支援機関セキュリティ対策推進協議会等

ウェブサイトの
脆弱性

脆弱性関連
情報届出

産総研など

脆弱性関連情報通知

ウェブサイト運営者

ユーザ

政府
企業
個人

個人情報の漏えい時は事実関係を公表

検証、対策実施①製品開発者及びウェブサイト運営者による脆弱性対策を促進【期待効果】 ②不用意な脆弱性関連情報の公表や脆弱性の放置を抑制③個人情報等需要情報の流出や重要システムの停止を予防※IPA:独立行政法人 情報処理推進機構, JPCERT/CC:一般社団法人 JPCERTコーディネーションセンター、産総研：独立行政法人 産業技術総合研究所

25