Japan Computer Emergency
Response Team Coordination
Center

電子署名者 : Japan Computer Emergency
Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku,
email=office@jpcert.or.jp, o=Japan Computer
Emergency Response Team Coordination Center,
cn=Japan Computer Emergency Response Team
Coordination Center
日付 : 2013.01.28 10:05:05 +09'00'

ソフトウェア等の脆弱性関連情報に関する活動報告レポート[2012 年第 4 四半期（10 月～12 月)]
ソフトウェア等の脆弱性関連情報に関する活動報告レポートについて
独立行政法人情報処理推進機構(以下、IPA)と一般社団法人 JPCERT コーディネーションセンター(以下、JPCERT/CC)は、ソフトウエア等脆弱性関連情報取扱基準（経済産業省告示 第 235 号）に基づき、2004 年 7 月より脆弱性関連情報の届出業務を実施しています。また、脆弱性に起因する被害の予防に資するため、四半期ごとに脆弱性関連情報の届出状況を公表しています。本レポートでは、2012 年 10 月 1 日から2012 年 12 月 31 日までの間に受け付けた脆弱性関連情報の統計及び事例について紹介しています。

独立行政法人情報処理推進機構 技術本部 セキュリティセンター
一般社団法人 JPCERT コーディネーションセンター
2013 年 1 月 28 日

目次
1. 2012 年第 4 四半期の注目すべき脆弱性 ...................................................................................... 1
1-1. HTTPS の設定不備の脆弱性について................................................................................... 1
1-2. DOM ベースのクロスサイト・スクリプティングの脆弱性について ................................... 2
2. 2012 年第 4 四半期

ソフトウェア等の脆弱性関連情報に関する届出状況 ............................... 3

2-1. 脆弱性関連情報の届出状況 .................................................................................................. 3
2-2. 脆弱性の修正完了状況.......................................................................................................... 4
2-3. 調整不能案件の取扱い状況 .................................................................................................. 4
3. ソフトウェア等の脆弱性に関する届出の処理状況（詳細） ...................................................... 5
3-1. ソフトウェア製品の脆弱性の処理状況の詳細 ..................................................................... 5
3-1-1. ソフトウェア製品の脆弱性の処理状況 ......................................................................... 5
3-1-2. 届出のあったソフトウェア製品の種類 ......................................................................... 5
3-1-3. 脆弱性の原因と脅威 ...................................................................................................... 7
3-1-4. ソフトウェア製品の脆弱性情報の調整および公表状況 ............................................... 8
3-1-5. 調整不能案件の処理状況 ............................................................................................. 15
3-2. ウェブサイトの脆弱性の処理状況 ..................................................................................... 16
3-2-1. ウェブサイトの脆弱性の処理状況 .............................................................................. 16
3-2-2. ウェブサイトの運営主体の種類 .................................................................................. 17
3-2-3. ウェブサイトの脆弱性の種類と脅威........................................................................... 17
3-2-4. ウェブサイトの脆弱性の修正完了状況 ....................................................................... 19
3-2-5. ウェブサイトの脆弱性の取扱中の状況 ....................................................................... 21
4. 関係者への要望 ......................................................................................................................... 224-1. ウェブサイト運営者 ........................................................................................................... 22
4-2. 製品開発者 .......................................................................................................................... 22
4-3. 一般インターネットユーザー............................................................................................. 22
4-4. 発見者 ................................................................................................................................. 23
付表 1. ソフトウェア製品 脆弱性の原因分類 .............................................................................. 24
付表 2. ウェブサイト脆弱性の分類 ............................................................................................... 25
付図１．
「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み） .. 26

1. 2012 年第 4 四半期の注目すべき脆弱性
本章では、2012 年第 4 四半期に届出のあった脆弱性関連情報の中で、注目すべき脆弱性を紹介しています。ウェブサイト運営者は、下記の事例を参考に同様の脆弱性を作り込まない様に注意してください。

1-1. HTTPS の設定不備の脆弱性について～入力画面にも HTTPS の実施を～
HTTPS は、SSL（Secure Socket Layer）や TLS（Transport Layer Security）を用いて、ウェ
ブブラウザとウェブサーバ間の通信を暗号化して通信内容を秘匿し、改ざんを防止するとともに、中間者攻撃を防止する手段です。この HTTPS は、ネットワーク盗聴やフィッシングサイト対策として、広く普及しています。
ウェブサイトで正しく HTTPS が導入されていないケースが報告されています。代表的な事案として、下記のようなケースが報告されています。
1)プライベートな CA 局から発行されたサーバ証明書が使用されている
2)サーバ証明書の有効期限が切れたまま使用され続けている
3)個人情報入力ページに HTTPS の導入がされていない
3)のケースにおいては、個人情報を送信するとき、送信先の URL が HTTPS のページであっても、その個人情報を利用者に入力させる画面の URL が HTTPS となるようにされていないケースが報告されています。このような状態でウェブサイトを運用すると、経路上で入力画面に改ざん等が行われた場合、ウェブ閲覧者は改ざんされたことに気付くことができず、結果として HTTPSを導入した効果の一つが無くなります。
正常なHTTPSの導入例

HTTPSが有効な範囲

https://example.jp/fom.php

ウェブサイト閲覧者<form action=“https://......”>

送信先サーバ

入力画面にHTTPSの導入をしていない例
このページは本当にexample.jpが用意している入力画面
だろうか？

入力画面はHTTPSがないため、ページの正当性を確認できない

HTTPSが有効な範囲

http://example.jp/fom.php<form action=“https://......”>

送信先サーバウェブサイト閲覧者

図1-1．入力画面にHTTPSが導入されている場合といない場合の違いに関するイメージ

図 1-1 は正常な HTTPS の導入例と入力画面に HTTPS を導入しない例の違いを示しています。
ウェブサイト運営者は、入力画面についても HTTPS を導入し、ウェブサイト閲覧者が安心して入力できる環境を構築しましょう。
また、HTTP Strict Transport Security(HSTS)というウェブサイトで常に HTTPS を使用するための仕組みを導入しているサイトもあります。対策の際に、この仕組みの導入についてもご検討く
ださい。
11-2. DOM（*1）ベースのクロスサイト・スクリプティングの脆弱性について
図 1-2 は 2012 年に届出のあった DOM ベースのクロスサイト・スクリプティングの脆弱性の四
半期別の届出件数を示しています。2012 年に、IPA に届出のあった DOM ベースのクロスサイト・
スクリプティングの脆弱性は、全体で 130 件あり、その内 92 件は第 4 四半期に届出られたもの
でした。
92

100

50

届出件数

21

15

2

0
1Q
2012

(130件の内訳)

2Q

3Q

4Q

図1-2．2012年のDOM Based XSSの届出件数

第 4 四半期の 92 件の中で最も多かった届出は、アクセス解析ソフトの JavaScript で実装された箇所に存在するもので、83 件でした。アクセス解析ソフトは、利用者のブラウザから送付されるウェブサイトのアクセス元を表すリファラ情報をアクセス解析に使用しています。
届出では、JavaScript でリファラの情報を解析する処理にクロスサイト・スクリプティングの問題が内在していました。
攻撃シナリオとしては、攻撃者が作成した罠ページを被害者が訪れ、利用者のブラウザから送付されるリファラにスクリプトを含めることで、利用者のブラウザでスクリプトが実行され、悪意あるサイトなどへ誘導することが出来てしまいます。
DOM ベースのクロスサイト・スクリプティングにおいては、主に次のような対策を行い、適切に実装することを推奨します。
DOM 操作用のメソッドを使用する



出力する内容（HTML なのか JavaScript コードなのか）に応じたエスケープ処理を施す



JavaScript ライブラリの問題の場合は、ライブラリをアップデートする

ウェブサイト運営者は上記の対策が実施済みであるかをご確認ください。

（ *1）

HTML ドキュメントや XML ドキュメントをアプリケーションから操作するためのアプリケーションプログラミングインター
フェース（API）

2

2. 2012 年第 4 四半期 ソフトウェア等の脆弱性関連情報に関する届出状況
2-1. 脆弱性関連情報の届出状況～ 脆弱性の届出件数の累計が 8,167 件になりました ～IPAとJPCERT/CCは「情報セキュリティ早期警

表 2-1. 届出件数

（ *2）

」
（以降、本制度）におい

戒パートナーシップ

分類て届出を受け付けています。表 2-1 は 2012 年第 4四半期のIPAへの脆弱性関連情報の届出件数およ

今期件数

累計件数

ソフトウェア製品

44 件

1,467 件

ウェブサイト176 件

6,700 件

220 件

8,167 件び届出受付開始（2004 年 7 月 8 日）から今四半期

合計までの累計件数を示しています。今期の届出件数

はソフトウェア製品に関するもの 44 件、ウェブサイト（ウェブアプリケーション）に関するもの
176 件、合計 220 件でした。
届出受付開始からの累計件数は、ソフトウェア製品に関するもの 1,467
件、ウェブサイトに関するもの 6,700 件、合計 8,167 件となりました。ウェブサイトに関する届
出が全体の 82%を占めています。
図 2-1 のグラフは過去 3 年間の届出件数の四半期別推移を示したものです。今四半期のソフトウェア製品、ウェブサイトに関する届出はともに前四半期よりも増加しています。表 2-2 は過去
3 年間の四半期別の累計届出件数および 1 就業日あたりの届出件数の推移です。1 就業日あたりの届出件数は 2012 年第 4 四半期末で 3.95（*3）件となっています。
ソフトウェア製品
ソフトウェア製品（累計）

四半期件数
400件

ウェブサイトウェブサイト（累計）6,029
5,407 5,446 5,647
300件 5,099 5,219 5,292 5,339

累計件数

6,245 6,369

6,524 6,700

6,000件
5,000件

382
200件

0件

4,000件201

1,047 1,081 1,122 1,142 1,162

100件

32 139 34 120 41 73

1Q
2010

2Q

3Q

20

47

4Q

20

216

1,206 1,240 1,285 1,338 1,384 1,423

68 44 39 34

1Q
2011

2Q

1,467

3,000件

1,000件4553

46 124 39 155 44 176

4Q

1Q
2012

2Q

3Q

7,000件

3Q

4Q

2012
1Q

2Q

2,000件

0件

図2-1.脆弱性関連情報の届出件数の四半期別推移

表 2-2．届出件数（過去 3 年間）
2010
1Q

2Q

3Q

4Q

2011
1Q

2Q

3Q

4Q

3Q

4Q

累計届出件数[件]6,146 6,300 6,414 6,481 6,569 6,652 6,887 7,314 7,583 7,753 7,947 8,167

１就業日あたり[件/日]

4.40

4.32

4.22

4.10

4.01

（ *2）

3.92

3.91

4.01

4.03

情報セキュリティ早期警戒パートナーシップガイドライン
http://www.ipa.go.jp/security/ciadr/partnership_guide.html（ *3）
1 就業日あたりの届出件数は、「累計届出件数」/「届出受付開始からの就業日数」にて算出

3

3.99

3.96

3.95

2-2. 脆弱性の修正完了状況～ ソフトウェア製品およびウェブサイトの修正件数が 5,200 件を突破しました ～表 2-3 は 2012 年第 4 四半期のソフトウェア製品とウェブサイトの修正完了件数および届出受付開始から今四半期までの累計件数を示しています。

表 2-3. 修正完了件数

ソフトウェア製品の脆弱性の届出のうち、製品開分類

発者が修正を完了し、2012 年第 4 四半期にJVNで対

今期件数

累計件数

策情報を公表したものは 25 件（*4）（累計 692 件）でソフトウェア製品

25 件

692 件

した。2010 年第 4 四半期以降は修正完了件数が 30

ウェブサイト113 件

4,549 件

138 件

5,241 件

合計件前後で推移しています。
今四半期に対策情報を公表した 25 件のうち、届出を受理してから公表までに 45 日以上経過した届出は 18 件でした。ウェブサイトの脆弱性関連情報の届出のうち、IPA がウェブサイト運営者に通知を行い、2012 年第 4 四半期に修正を完了したものは 113 件（累計 4,549 件）でした。修正を完了した 113 件を、対策方法により分類すると、
ウェブアプリケーションを修正したものが 92 件（81%）、当該ページを削除したものが 21 件
（19%）
、運用で回避したものが 0 件（0%）でした。なお、修正を完了した 113 件のうち 50 件
（44%）は、届出から修正完了まで 90 日以上経過していました。

2-3. 調整不能案件の取扱い状況
本制度において届出を受け付けたソフトウェア製品の開発者に対して、一定期間にわたり連絡を試みても連絡が取れない場合、その製品開発者を「連絡不能開発者」と位置づけています。製品開発者と連絡をとる糸口を得るために、「連絡不能開発者一覧（*5）」において段階的に製品開発
者名と製品情報を公表することで、製品開発者からの連絡および関係者からの情報提供を求めています。
（1） 連絡不能開発者一覧の公表状況
今四半期に新たに公表した「製品開発者名」は 8 件（累計 119 件）です。また、既に公表後一定期間(約 3 ヶ月)が経過したものの連絡が取れず、広く関係者からの情報提供を求める為に「製品開発者名」に加えて「製品情報(具体的な対象製品の名称およびバージョン)」を公表したもの
は 0 件（累計 98 件）でした。製品開発者から応答があったのは 3 件（*6）(累計 16 件)でした。これまでに製品開発者から応答があった 16 件のうち、6 件が本制度における取扱いを終了しました。
2012 年第 4 四半期末の公表中件数は、103 件となります。

（ *4）

表 3-3 参照
連絡不能開発者一覧：http://jvn.jp/reply/index.html（ *6）2012 年第 3 四半期までに公表した 2 件、今四半期に公表した 1 件について、今四半期に製品開発者から応答があ
りました。
（ *5）

4

3. ソフトウェア等の脆弱性に関する届出の処理状況（詳細）3-1. ソフトウェア製品の脆弱性の処理状況の詳細
3-1-1. ソフトウェア製品の脆弱性の処理状況
図 3-1 のグラフはソフトウェア製品の脆弱性関連情報の届出における、処理状況の推移を示したものです。今四半期に公表した脆弱性は 25 件（累計 692 件）です。また、製品開発者が「個別対応」したものは 2 件（累計 22 件）、製品開発者が「脆弱性ではない」と判断したものは 2 件、取扱い中は 485 件です。今四半（累計 62 件）、「不受理」としたものは 3 件（*7）（累計 206 件）
期に、取扱中の届出について連絡不能開発者一覧に公表した連絡不能開発者（*8）は 8 件です。2012
年 12 月末時点の連絡不能開発者公表数は 103 件になります。
657
849
2011年
12月末

17 59

580 [53%]

436

193

連絡不能開発者 89

合計 1,285

699
878
2012年
3月末

17 59

606 [53%]

196

460

連絡不能開発者 96(8)

合計 1,338

734
916
2012年
6月末

639 [54%]

17 60

200

468

連絡不能開発者 98(2)

合計 1,384

950
771
2012年
9月末

20 60

667[55%]473

203

連絡不能開発者 98(0)

合計 1,423

取扱い終了 811
982 (40)
(32)
取扱い終了

2012年
12月末

公表済み 692

0

200

400

62 不受理(2)206 (3)
個別対応 22(2) 脆弱性ではない(25) [55%]

600

800

取扱い中 485

1,000

連絡不能開発者 103(8)1,200

合計 1,467

1,400

括弧内の数値は今四半期に処理を終了もしくは連絡不能開発者となった件数「」内の数値は受理した届出のうち公表した割合

公表済み：JVN で脆弱性への対応状況を公表したもの

個別対応：製品開発者が個別対応したもの

脆弱性ではない：製品開発者により脆弱性ではないと判断されたもの

不受理：告示で定める届出の対象に該当しないもの

取扱い中：製品開発者が調査、対応中のもの

連絡不能開発者：連絡不能開発者一覧にて公表中のもの

図 3-1.ソフトウェア製品 各時点における脆弱性関連情報の届出の処理状況

3-1-2. 届出のあったソフトウェア製品の種類
届出受付開始から今四半期までに IPA に届出のあったソフトウェア製品の脆弱性関連情報
1,467 件のうち、不受理を除いた 1,261 件について、図 3-2 のグラフは製品種類別の届出件数の割合を、図 3-3 は過去 2 年間の製品種類別の届出件数の四半期別推移をそれぞれ示したものです。
今四半期における製品種類は、「ウェブアプリケーション」が増加し、「ウェブブラウザ」が減少しています。

（ *7）

今四半期の届出の中で不受理とした 1 件、前四半期までの届出の中で今四半期に不受理とした 2 件です。
連絡不能開発者一覧への公表および一覧からの削除が複数回行われている製品開発者については、公表回数の累計を計上しています。

（ *8）

5

ソフトウェア製品の製品種類別の届出状況
ウェブアプリケーションソフト
ウェブブラウザ
アプリケーション開発・実行環境
ルータ
グループウェア
OS
ファイル管理ソフト
メールソフトシステム管理ソフト
ウェブサーバアンチウイルスソフト
周辺機器
その他

55件
50件

2%
2%
3%
3%
3%
3%

2%

13%

45件

40%

(40%)

40件
35件
30件
25件
20件
15件
10件

6%

(6%)

6%

(6%)

5件

10%

7%

(7%)

1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q
2011
2012

(11%)

※その他には、データベース、携帯機器などがあります。
( 1,261件の内訳、グラフの括弧内は前四半期までの数字)

0件( 過去2年間の届出内訳)

図3-3．製品種類別の届出件数(四半期別推移)

図3-2．製品種類別の届出件数の割合

届出受付開始から今四半期までに IPA に届出のあったソフトウェア製品の脆弱性関連情報
1,467 件のうち、不受理を除いた 1,261 件について、図 3-4 のグラフはオープンソースソフトウ
ェアとそれ以外のソフトウェアの脆弱性の届出件数の割合を、図 3-5 は過去 2 年間のオープンソースソフトウェアとそれ以外ソフトウェアの届出件数の四半期別推移をそれぞれ示したものです。
届出受付開始から今四半期までの届出のうち、オープンソースソフトウェアの届出は約 33%となっています。また、今四半期はオープンソースソフトウェアの届出が増加しています。
オープンソースソフトウェアの脆弱性の届出状況
オープンソースソフトウェア
それ以外

5
7
33%
(33 %)

4

20
15
10

7

25 26

18

36 32
28 25 2512

67%(67 %)

1Q 2Q
2011

3Q

4Q

1Q 2Q
2012

3Q

4Q

55件
50件
45件
40件
35件
30件
25件
20件
15件
10件
5件
0件

(過去2年間の届出内訳)（1,261件の内訳、グラフの括弧内は前四半期までの数字）

図3-5．オープンソースソフトウェアの届出件数
図3-4．オープンソースソフトウェアの届出件数の割合(四半期別推移)

届出受付開始から今四半期までに IPA に届出のあったソフトウェア製品の脆弱性関連情報
1,467 件のうち、不受理を除いた 1,261 件について、図 3-6 のグラフは過去 2 年間のスマートフ
ォン向けアプリとそれ以外ソフトウェアの届出件数の四半期別推移を、図 3-7 はスマートフォン
向けアプリに関する届出の処理状況を示したものです。スマートフォン向けアプリに関する届出は 2011 年から増加し、2012 年は 10 件前後で推移している状況です。また、届出されたスマー
トフォン向けアプリの脆弱性の約半数は対策が行われ JVN にて公表されている状況です。

6スマートフォン向けアプリの脆弱性の届出状況
100

それ以外
スマートフォン向けアプリ

90
80
70
60
50
40

51%

49%
29

30

42

20
10

19

46

24

38

26

37
JVN公表済1610
8 12 77
1
1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q
2011
2012

0

図3-6.スマートフォン向けアプリの届出件数(四半期別推移)取扱い中

図3-7.スマートフォン向けアプリの処理状況

3-1-3. 脆弱性の原因と脅威
届出受付開始から今四半期までにIPAに届出のあったソフトウェア製品に関する脆弱性関連情報 1,467 件のうち、不受理を除いた 1,261 件について、図 3-8 のグラフは原因別（*9）の届出件数の割合を、図 3-9 のグラフは過去 2 年間の原因別届出件数の四半期別推移をそれぞれ示したものです。今四半期におけるソフトウェア製品の脆弱性の原因は、前四半期と同様に「ウェブアプリ
ケーションの脆弱性」が最多となっています。

ソフトウェア製品の脆弱性の原因別の届出状況
ウェブアプリケーションの脆弱性
バッファのチェックの不備
仕様上の不備
ファイルのパス名、内容のチェックの不備
アクセス制御の不備
セキュリティコンテキストの適用の不備
その他実装上の不備
その他ウェブに関連する不備※その他実装上の不備には、証明書の検証に関する不備やサービス運用妨害などが
あります。

55件
50件
45件
40件
35件

59%
(59%)

4%
21%

30件
25件
20件

1%
2%
(2%)
3%
(3%)
5%
5%
(4%) (6%)

15件
10件
5件
1Q 2Q
2011

(1,261件の内訳、グラフの括弧内は前四半期までの数字)

3Q

4Q

1Q 2Q
2012

3Q

4Q

0件

(過去2年間の届出内訳)

図3-8．脆弱性の原因別の届出件数の割合

図3-9．脆弱性の原因別の届出件数(四半期別推移)

届出受付開始から今四半期までに IPA に届出のあったソフトウェア製品に関する脆弱性関連情報 1.467 件のうち、不受理を除いた 1,261 件について、図 3-10 のグラフは脅威別の届出件数の割合を、図 3-11 は過去 2 年間の脅威別届出件数の四半期別推移をそれぞれ示したものです。「任意のスクリプトの実行」が届出受付開始から今四半期までの届出のうち約 4 割を占めています。また、今四半期は「任意のスクリプトの実行」と「情報の漏洩」「なりすまし」が増加し、「任意（ *9）

連絡不能開発者一覧への公表および一覧からの削除が複数回行われている製品開発者については、回数の累計を計上しています。

7

のファイルへのアクセス」が前四半期よりも減少しています。

ソフトウェア製品の脆弱性がもたらす脅威別の届出状況
任意のスクリプトの実行
情報の漏洩
任意のコードの実行
なりすまし
サービス不能任意のファイルへのアクセス
任意のコマンドの実行
アクセス制限の回避

2%
2%
2%
3%
3%
5%

41%
(41%)

6%

7%
(7%)

データベースの不正操作
認証情報の漏洩9%(9%)

通信の不正中継
その他

9%
(9%)

1Q 2Q
2011

11%
(11%)

3Q

4Q

1Q 2Q
2012

4Q

(過去2年間の届出内訳)(1,261件の内訳、グラフの括弧内は前四半期までの数字)

図3-10．脆弱性がもたらす脅威別の届出件数の割合

3Q

55件
50件
45件
40件
35件
30件
25件
20件
15件
10件
5件
0件

図3-11．脆弱性がもたらす脅威別の届出件数(四半期別推移)

3-1-4. ソフトウェア製品の脆弱性情報の調整および公表状況
表 3-1 は今四半期の脆弱性の公表件数および届出受付開始から今四半期までの累計公表件数を示しています。JPCERT/CCは、2 種類の脆弱性関連情報について、日本国内の製品開発者や関係者との調整、および海外CSIRTの協力のもと海外の製品開発者との調整を行っています（*10）。
これらの脆弱性関連情報に対する製品開発者の対応状況は、IPAとJPCERT/CCが共同運営している脆弱性対策情報ポータルサイトJVN（Japan Vulnerability Notes）（URL： http://jvn.jp/ ）において公表しています。図 3-12 のグラフは、届出受付開始から今四半期までの届出の中で、対策情報を公表した 1,497 件について、過去 3 年間の公表件数の四半期別推移を示したものです。
表 3-1．脆弱性関連情報の提供元別 脆弱性公表件数

情報提供元
今期件数 累計件数
国内外の発見者から IPA に届出があったもの、および、製品開発者
①
25 件
692 件
自身から自社製品の脆弱性、対策方法について届出を受けたもの② 海外 CSIRT 等と連携して公表したもの
43 件
873 件
合計
68 件 1,565 件
国内発見者からの届出
国内発見者からの届出(累計)

四半期件数

70件
60件
50件
40件
30件
20件
10件
0件

476

497

529

406

426

435

6

571

615

466

490

653
516

海外のCSIRTからの連絡
海外のCSIRTからの連絡（累計）

679
545

723

755

791

830

580

606

639

667

累計件数

873
692

20 20 21 9 32 31 42 24 44 26 38 29 26 35 44 26 32 33 36 28 39 25 43

1Q
2010

2Q

3Q

4Q

1Q
2011

2Q

3Q

4Q

1Q
2012

2Q

3Q

1,000件
900件
800件
700件
600件
500件
400件
300件
200件
100件
0件

4Q

図3-12．ソフトウェア製品の脆弱性対策情報の公表件数（ *10）JPCERT/CC 活動概要 Page15~22（http://www.jpcert.or.jp/pr/2013/PR20130110.pdf）を参照下さい。

8

（1）

国内外の発見者および製品開発者から届出があり、公表した脆弱性

届出受付開始から今四半期までに届出のあったソフトウェア製品の脆弱性関連情報（表 3-1 の①）について、図 3-13 は受理してから JVN 公表するまでに要した日数を示したものです。表 3-2
は過去 3 年間における 45 日以内に公表した件数の割合推移を四半期別に示したものです。45 日以内に公表した件数は 2012 年第 4 四半期で 34%、45 日を超過した件数は 66%です。製品開発者
は脆弱性を攻撃された場合の危険性を認識し、迅速な対策を講じる必要があります。
34% (45日以内の公表)全体（692件)

64件
～10日

～10日

57件

57件
21～
30日

11～
20日

0%
10%
11日～20日

60件

134件

101件

31～45日46～100日

101～200日

20%
30%
40%
21日～30日 31日～45日

42件

177件

201～
300日

301日～

60%
70%
50%
46日～100日 101日～200日

80%
90%
201日～300日

100%
301日～

図3-13. ソフトウェア製品の脆弱性公表日数表 3-2．45 日以内に公表した件数の割合推移（四半期別）

2010
1Q

2Q

3Q

4Q

2011
1Q

2Q

3Q

4Q

2012
1Q

2Q

3Q

4Q

35%

36%

36%

38%

38%

36%

34%

33%

34%

34%

35%

34%

9

表 3-3 は国内の発見者および製品開発者から届出があり、今四半期に JVN 公表した脆弱性を示しています。オープンソースソフトウェアに関し公表したものが 11 件（表 3-3 の*1）、複数開発者・製品に影響がある脆弱性が 2 件（表 3-3 の*2）、組込みソフトウェア製品の脆弱性が 2 件（表3-3 の*3）ありました。
表 3-3. 2012 年第 4 四半期に JVN で公表した脆弱性

項番

脆弱性

セキュリティ上の問題点

JVN
公表日

CVSS
基本
値

脆弱性の深刻度=レベル III（危険）、CVSS 基本値=7.0～10.0
複数の京セラ製携帯端 京セラ株式会社の提供する複数の携帯端末には、メール 2012 年
1末におけるメール受信 受信時の処理に問題がありました。このため、第三者に 11 月 30（*3）
より携帯端末を再起動される可能性がありました。
時に再起動する問題
日

7.8

脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.0～6.9「MyWebSearch」にお サイト内検索ソフト「MyWebSearch」には、ウェブペ
2012 年
けるクロスサイト・ス ージを出力する際の処理に問題がありました。このた
10 月 5
クリプティングの脆弱 め、第三者によりウェブページにスクリプトを埋め込ま日れる可能性がありました。
性4.3「Smarty」におけるク PHP 用のテンプレートエンジン「Smarty」には、ウェ2012 年
ロスサイト・スクリプ ブページを出力する際の処理に問題がありました。この310 月 10（*1） ティングの脆弱性ため、第三者によりウェブページにスクリプトを埋め込日まれる可能性がありました。

4.3

4「Safari」においてリモ ウェブブラウザ「Safari」には、リモートからローカル2012 年ートからローカルファ ファイルを読み取り可能な脆弱性がありました。これに10 月 23
イルを読み取り可能な より、第三者により利用者のコンピュータ内のファイル
日を取得される可能性がありました。
脆弱性

4.3

5

「東京 BBS」における 掲示板ソフトウェア「東京 BBS」には、ウェブページ
2012 年
クロスサイト・スクリ を出力する際の処理に問題がありました。このため、第10 月 26
三者によりウェブページにスクリプトを埋め込まれる
プティングの脆弱性
日可能性がありました。

4.3

6

Mac OS X のMac OS X に同梱の SSH プロトコル利用ソフト
2012 年「OpenSSH」における 「OpenSSH」には、パケットの受信する処理に問題が10 月 31
サービス運用妨害ありました。このため、第三者により応答不能状態にな日(DoS) の脆弱性
る可能性がありました。

5.0「MosP 勤怠管理シス 勤怠管理システム「MosP 勤怠管理システム」には、ア2012 年テム」におけるアクセ クセス制限不備の脆弱性が存在しました。このため、第7
11 月 02（*1） ス制限不備の脆弱性
三者により他のユーザの情報が取得される可能性があ
日
りました。

4.0

「MosP 勤怠管理シス 勤怠管理システム「MosP 勤怠管理システム」には、認 2012 年
8テム」における認証不 証不備の脆弱性が存在しました。このため、第三者によ 11 月 02（*1）
り他のユーザになりすまされる可能性がありました。 日
備の脆弱性

6.5

「Pebble」において記 コンテンツ管理システム「Pebble」には、コメントの処 2012 年
9
事が閲覧不能になる脆 理に問題がありました。このため、第三者により任意の 11 月 02（*1）
弱性記事が閲覧不能にされる可能性がありました。
日

5.0「Pebble」におけるコンテンツ管理システム「Pebble」には、HTTP ヘッダ
2012 年
HTTP ヘッダ・インジ を出力する際の処理に問題がありました。このため、第1011 月 02（*1） ェクションの脆弱性
三者により偽の情報が表示される可能性や任意のスク日リプトが実行されてしまう可能性がありました。

4.3

2

10

項番

脆弱性

セキュリティ上の問題点

JVN
公表日

「Pebble」におけるオ コンテンツ管理システム「Pebble」には、オープンリダ
2012 年
ープンリダイレクトの イレクトの脆弱性が存在しました。このため、第三者に
11
11 月 02（*1） 脆弱性
より任意のウェブサイトにリダイレクトされる可能性
日がありした。

基本値

4.3

圧縮・展開ソフト「BeZIP 日本語対応版」には、ディレクトリ・トラバーサルの脆弱性がありました。このた 2012 年
め、第三者により任意のファイルが作成されたり、既存 11 月 7のファイルが書き換えられたりする可能性がありまし 日
た。

4.3

Android OS を搭載し Android OS を搭載した複数の端末は、特定のシステム
2012 年
13
た複数の端末における 領域を参照する際の処理に問題がありました。このた（*2）
11 月 14
め、第三者により当該製品が強制終了させられる可能性
サービス運用妨害（*3）
日(DoS) の脆弱性があります。

5.4「BIGACE」における コンテンツ管理システム「BIGACE」には、セッション 2012 年
14セッション固定の脆弱 固定の脆弱性がありました。このため、第三者により登 11 月 21（*1）
録ユーザになりすまされる可能性がありました。
性
日

5.8

15

KENT-WEB 製
アクセス解析ソフト「ACCESS REPORT」には、ウェ「ACCESS REPORT」 ブページを出力する際の処理に問題がありました。この 2012 年
におけるクロスサイ
ため、第三者によりウェブページ上にスクリプトを埋め 12 月 6
ト・スクリプティング 込まれる可能性がありました。項番 16 とは異なる問題 日
です。
の脆弱性

5.0

16

KENT-WEB 製
アクセス解析ソフト「ACCESS REPORT」には、クロ「ACCESS REPORT」 スサイト・スクリプティングの問題がありました。この 2012 年
におけるクロスサイ
ため、第三者によりウェブページ上にスクリプトを埋め 12 月 6
ト・スクリプティング 込まれる可能性がありました。項番 15 とは異なる問題 日
です。
の脆弱性

4.3

「Welcart」におけるク ショッピングサイト構築プラグイン「Welcart」には、2012 年
ロスサイト・スクリプ ウェブページを出力する際の処理に問題がありました。
17
12 月 14（*1） ティングの脆弱性
このため、第三者によりウェブページ上にスクリプトを日埋め込まれる可能性がありました。

5.0「WikkaWiki」における Wiki 構築ソフト「WikkaWiki」には、ウェブページを出2012 年
クロスサイト・スクリ 力する際の処理に問題がありました。このため、第三者
18
12 月 17（*1） プティングの脆弱性によりウェブページ上にスクリプトを埋め込まれる可日
能性がありました。

4.3

Android 版「Opera
ウェブブラウザ「Opera Mini ウェブブラウザ」およびMini ウェブブラウザ」 「Opera Mobile ウェブブラウザ」には、不正なスクリ2012 年および「Opera Mobile プトが実行される問題がありました。このため、第三者
12 月 20
ウェブブラウザ」にお により指定されたウェブサイトの Cookie 情報を窃取
日
いて任意のスクリプト される可能性がありました。
が実行される脆弱性

4.0

12

19

「BeZIP 日本語対応版」におけるディレク
トリ・トラバーサルの
脆弱性

CVSS

脆弱性の深刻度=レベル I（注意）、CVSS 基本値=0.0～3.9「Android 版 Monaca デバッグアプリ「Android 版 Monaca デバッガー」に2012 年
デバッガー」における は、情報管理不備の脆弱性がありました。このため、第11 月 16
情報管理不備の脆弱性 三者によりアカウント情報やセッション ID 等の情報
日を取得される可能性がありました。

2.6「Welcart」におけるク ショッピングサイト構築プラグイン「Welcart」には、2012 年
ロスサイト・リクエス クロスサイト・リクエスト・フォージェリの脆弱性があ
21
12 月 14（*1） ト・フォージェリの脆 りました。このため、第三者により購入手続きを終了さ日れる可能性がありました。
弱性

2.6

20

11

項番

脆弱性

セキュリティ上の問題点

JVN
公表日

CVSS
基本
値

「Boat Browser」およ ウェブブラウザ「Boat Browser」および「Boat Browser
2012 年び「Boat Browser Mini」 Mini」には、WebView クラスに関する問題がありまし12 月 20における WebView ク た。このため、第三者により当該製品のデータ領域にあ日る情報が窃取される可能性がありました。
ラスに関する脆弱性

2.6「concrete5」における コンテンツ管理システム「concrete5」には、ウェブペ
2012 年
クロスサイト・スクリ ージを出力する際の処理に問題がありました。このた
23
12 月 21（*1） プティングの脆弱性
め、第三者によりウェブページ上にスクリプトを埋め込日まれる可能性がありました。

2.6

22

24

Android 版「ロケタッチ」における暗黙的Intent の扱いに関する脆弱性

位置情報取得アプリ「ロケタッチ」には、暗黙的 Intent
2012 年の扱いに関する問題がありました。このため、第三者に12 月 21より非公開の予定とするものを含めた位置情報を窃取日される可能性がありました。

2.6

25

Android 版「ロケタッ 位置情報取得アプリ「ロケタッチ」には、ログ保存に関2012 年チ」における情報管理 連する情報管理に問題がありました。このため、第三者
12 月 21
により非公開の予定とするものを含めた位置情報を窃
不備の脆弱性日取される可能性がありました。

2.6

（*1）
：オープンソースソフトウェア製品の脆弱性（*2）：複数開発者・製品に影響がある脆弱性（*3）：組込みソフトウェアの脆弱性

12

（2）

海外 CSIRT 等と連携して公表した脆弱性

表 3-4、表 3-5 は JPCERT/CC が海外 CSIRT 等と連携し、今四半期に公表した脆弱性および対応状況を示しています。今四半期に公表した脆弱性は 43 件あり、うち表 3-4 には通常の脆弱性情報 40 件、表 3-5 には対応に緊急を要する Technical Cyber Security Alert の 3 件を示しています。
これらの情報は、通常関連する登録済み製品開発者へ通知したうえ、JVN に掲載しています。
表 3-4.米国CERT/CC（*11）等と連携した脆弱性関連情報および対応状況
項番

脆弱性

対応状況

1

Cerberus FTP Server にクロスサイトリクエストフォージェリの脆弱性

注意喚起として掲載

2

複数のネットワークカメラに認証回避の脆弱性

注意喚起として掲載

3

ZENworks Asset Management に情報漏えいの脆弱性

注意喚起として掲載

4

OTRS にクロスサイトスクリプティングの脆弱性

注意喚起として掲載

5

Mutiny にコマンドインジェクションの脆弱性

注意喚起として掲載

6

Adobe Shockwave Player に複数の脆弱性

注意喚起として掲載

7

複数の Broadcom 製無線チップセットにサービス運用妨害 (DoS) の脆 複数製品開発者へ通知
弱性

8

複数の DomainKeys Identified Mail (DKIM) 実装に問題

9

HP/H3C 製および Huawei 製ネットワーク機器にアクセス制限不備の脆 注意喚起として掲載
弱性10

TomatoCart の PayPal Express Checkout モジュールに検証不備の脆弱 注意喚起として掲載
性11

CA ARCserve Backup において任意のコードが実行可能な脆弱性

注意喚起として掲載
特定製品開発者へ通知

12

CA ARCserve Backup にサービス運用妨害 (DoS) の脆弱性

注意喚起として掲載
特定製品開発者へ通知

13

Axigen Free Mail Server にディレクトリトラバーサルの脆弱性

注意喚起として掲載

14

Orion IPAM にクロスサイトスクリプティングの脆弱性

注意喚起として掲載

15

Pattern Insight 製品に複数の脆弱性

注意喚起として掲載

16

FortiGate Unified Threat Management (UTM) の CA 証明書の取扱いに問 注意喚起として掲載
題

17

複数の Symantec 製品に脆弱性

注意喚起として掲載
特定製品開発者へ通知

18

Sophos Antivirus に複数の脆弱性

注意喚起として掲載

19

VeriCentre に SQL インジェクションの脆弱性

注意喚起として掲載

20

FleetCommander に複数の脆弱性

注意喚起として掲載

21

Oberthur のスマートカードに問題

注意喚起として掲載

22

ArcGIS Server に SQL インジェクションの脆弱性

注意喚起として掲載

23

Vanilla Forums にアクセス制限不備の脆弱性

注意喚起として掲載

24

Dell OpenManage Server Administrator にクロスサイトスクリプティン 注意喚起として掲載
特定製品開発者へ通知
グの脆弱性

25

Novell File Reporter に複数の脆弱性

注意喚起として掲載

26

Autonomy Keyview IDOL ライブラリに複数の脆弱性

注意喚起として掲載

27

Samsung 製プリンタに SNMP コミュニティ文字列がハードコードされ 注意喚起として掲載
特定製品開発者へ通知ている問題（ *11）

注意喚起として掲載

CERT/Coordination Center：1988 年のウイルス感染事件を契機に米国カーネギーメロン大学に設置された
CSIRT。

13

項番

脆弱性

対応状況

28

Apple iOS における複数の脆弱性に対するアップデート

注意喚起として掲載

29

Apple Safari における複数の脆弱性に対するアップデート

注意喚起として掲載

30

Apple QuickTime における複数の脆弱性に対するアップデート

注意喚起として掲載

31

ManageEngine AssetExplorer にクロスサイトスクリプティングの脆弱性 注意喚起として掲載

32

Qualcomm 製デバイスドライバを搭載した Android 端末に複数の脆弱 注意喚起として掲載
複数製品開発者へ通知
性33

D-Link DSL-2730u に OS コマンドインジェクションの脆弱性

注意喚起として掲載

34

IBM POWER5 のサービス・プロセッサーに権限昇格の脆弱性

注意喚起として掲載

35

Centreon にブラインド SQL インジェクションの脆弱性

注意喚起として掲載

36

Huawei E585 Pocket WiFi 2 に複数の脆弱性

注意喚起として掲載
複数製品開発者へ通知

37

Adobe Shockwave Player における Shockwave ランタイムのインスト 注意喚起として掲載
ールに関する問題

38

Adobe Shockwave Player に旧バージョンの Flash ランタイムが同梱さ 注意喚起として掲載れている問題

39

Adobe Shockwave Player におけるプラグインモジュールのインストー 注意喚起として掲載
ルに関する問題40

Internet Explorer に任意のコードが実行される脆弱性

緊急案件として掲載
特定製品開発者へ通知

表 3-5.米国US-CERT（*12）と連携した脆弱性関連情報および対応状況
項番

脆弱性

1

Microsoft 製品における複数の脆弱性に対するアップデート

2

Microsoft 製品における複数の脆弱性に対するアップデート

3

Microsoft 製品における複数の脆弱性に対するアップデート（ *12）

United States Computer Emergency Readiness Team：米国の政府系 CSIRT。

14

3-1-5. 調整不能案件の処理状況（1） 連絡不能開発者一覧（製品開発者名および製品情報）の公表状況
図 3-14 は 2012 年第 4 四半期の連絡不能開発者一覧(製品開発者名および製品情報)の公表件数と今四半期までの累計件数を示しています。
「連絡不能開発者一覧」にある「製品開発者名」の公表件数の累計は 2012 年第 3 四半期までで 111 件、今四半期に 8 件を公表し、合計 119（*13）件となりました。このうち、16 件が調整を再開しています。また、2012 年第 4 四半期に「製品情報（具体的な対象製品の名称およびバージョン）」を公表した届出はありません。
（2） 製品開発者情報の公開調査結果
図 3-15 は今四半期までに公表された連絡不能開発者の調査状況を示しています。2012 年第 4
四半期は 3 件（*14）の製品開発者から応答がありました。2012 年 12 月 28 日時点の公表中件数は、103 件です。また、「連絡不能開発者一覧」の公表開始（2011 年 9 月 29 日）から 2012 年 12 月
31 日時点までに 16 件が調整を再開し、そのうち 6 件が本制度における取扱いを終了しました。
「連絡不能開発者一覧」の公表開始から 1 年以上が経過しましたが、2012 年 12 月 31 日時点で103 件は依然として、製品開発者からの連絡が無い状況です。

公表開始から2012年3Qまで（※）

2012年4Q
8%（10件）（ ※2012/12/31 現在で「調整再開」を含む累積件数です）

製品開発者名の公表件数（累計）

111

8 119

製品情報の公表
件数（累計）

98

98

50件

100件

（ *14）

製品開発者名の公表
製品開発者名と製品情報の公表
調整再開（調整中）
調整再開（調整完了）

2012年4Q公表中 103件
／総計119件

150件

図3-14. 2012年4Qの公表および調整再開の状況（ *13）

6%
（7件）

81%
（96件）

調整再開の件数 13 3 16

0件

5%
（6件）

図3-15. 公開調査の状況

過去に連絡不能開発者一覧に公表され、調整を再開し、再度連絡不能となったものは個別に計上しています。
前四半期までに公表した 2 件および今四半期に公表した 1 件です。

15

3-2. ウェブサイトの脆弱性の処理状況
3-2-1. ウェブサイトの脆弱性の処理状況
図 3-16 はウェブサイトの脆弱性関連情報の届出における、処理状況の推移を示したものです。
ウェブサイトの脆弱性について、今四半期中に処理を終了したものは 176 件（累計 6,227 件）でした。このうち「修正完了」したものは 113 件（累計 4,549 件）、ウェブサイトが利用している
ソフトウェア製品の修正プログラムが適用されていない問題について、IPA による「注意喚起」
で広く対策実施を促した後に処理を取りやめたものは 0 件（累計 1,130 件）、IPA およびウェブ
サイト運営者が「脆弱性ではない」と判断したものは 6 件（累計 327 件）でした。なお、メールでウェブサイト運営者と連絡が取れない場合は電話や郵送手段で連絡を試みるなどの対応をしていますが、それでもウェブサイト運営者と連絡が取れず「連絡不可能」なものは 1 件（累計 55件）です。「不受理」としたものは 4 件（累計 166 件）でした。
取扱いを終了した累計 6,227 件のうち「注意喚起」「連絡不可能」「不受理」を除く累計 4,876件（78%）は、ウェブサイト運営者からの報告もしくは IPA の判断により指摘した点が解消されたことを確認しました。
「修正完了」したもののうち、ウェブサイト運営者が当該ページを削除することにより対応したものは 21 件（累計 510 件）、ウェブサイト運営者が運用により被害を回避しているものは 0
件（累計 23 件）でした。
5,488
2011年
12月末

3,855 [66%]

46

1,130

合計
6,029件541

300 157

5,718
2012年
3月末

4,073 [66%]

49

1,130

527

合計
6,245件

306 160

5,920
2012年
6月末

4,265 [69%]

1,130

50

449

314 161

合計
6,369件

6,103
2012年
9月末

4,436 [70%]1,130取扱い終了 6,227 (124)
2012年
12月末

修正完了 4,549(113) [70%]
0

1,000

当該ページ削除
510(21)

2,000

運用で回避
23(0)

3,000

4,000

421

321 162

合計
6,524件連絡不可能
55 (1) 取扱い中
合計
473
327
6,700件(4)(6)
166
脆弱性ではない 不受理

注意喚起
1,130
5,000

6,000

7,000

「」内の数値は受理した届出のうち修正完了した割合

括弧内の数値は今四半期に処理を終了した件数①修正完了
該当ページを削除
運用で回避
②注意喚起
③脆弱性ではない④連絡不可能
⑤不受理
⑥取扱い中

54

： ウェブサイト運営者により脆弱性が修正されたもの： 修正完了のうち、当該ページを削除して対応したもの： 修正完了のうち、運用により被害を回避しているもの： IPA による注意喚起で広く対策実施を促した後、処理を取りやめたもの： IPA およびウェブサイト運営者が脆弱性はないと判断したもの： ウェブサイト運営者からの回答がなく、取扱いができないもの： 告示で定める届出の対象に該当しないもの： ウェブサイト運営者が調査、対応中のもの

図 3-16.ウェブサイト各時点における脆弱性関連情報の届出の処理状況
16

3-2-2. ウェブサイトの運営主体の種類
図 3-17 のグラフは過去 2 年間に IPA に届出のあったウェブサイトの脆弱性関連情報のうち、不受理を除いたウェブサイトの運営主体の種類別届出件数の四半期別推移を示しています。今四半期も企業が多く届出されています。
不明

400件

個人
教育・学術機関

350件

政府機関

300件

団体
地方公共団体250件

企業（その他）200件

企業（株式・非上場）企業（株式・上場）

150件
100件
50件
0件

1Q
2011

2Q

3Q

4Q

1Q
2012

2Q

3Q

4Q

図3-17．ウェブサイトの運営主体の種類別の届出件数(四半期別推移)

3-2-3. ウェブサイトの脆弱性の種類と脅威届出受付開始から今四半期までにIPAに届出のあったウェブサイトの脆弱性関連情報 6,700 件のうち、不受理を除いた 6,534 件について、図 3-18 のグラフは脆弱性の種類別の届出件数の割合
を、図 3-19 は過去 2 年間の脆弱性の種類別届出件数の四半期別推移をそれぞれ示したものです（ *15）。脆弱性の種類は届出の多い「クロスサイト・スクリプティング」「DNS情報の設定不備」「SQLインジェクション」の 3 種類の脆弱性が全体の 86%を占めています。2008 年第 3 四半期
から 2009 年第 3 四半期にかけて多く届出のあった「DNS情報の設定不備」は、2009 年第 4 四半
期以降は届出がありません。2011 年第 1 四半期以降、継続して「クロスサイト・スクリプティング」の脆弱性が 70%以上を占めています。しかし、この統計はあくまでIPAに届出されたものの情報であり、この内訳が世の中に存在する脆弱性の傾向と一致するものではありません。

（ *15）

それぞれの脆弱性の詳しい説明については付表 2 を参照してください。

17

ウェブサイトの脆弱性の種類別の届出状況
クロスサイト・スクリプティング

400件

DNS情報の設定不備

350件

SQLインジェクション

2%
2%

HTTPSの不適切な利用ファイルの誤った公開
HTTPレスポンス分割

(2%)

300件
250件

8%

2%
(2%)

200件
150件

その他

100件

12%
(13%)

50件

20%
(21%)
(6,534件の内訳、グラフの括弧内は前四半期までの数字)

54%
(52%)

1Q 2Q
2011

3Q

4Q

0件
1Q 2Q 3Q 4Q
2012(過去2年間の届出内訳)

図3-19．脆弱性の種類別の届出件数

図3-18．脆弱性の種類別の届出件数の割合(四半期別推移)

届出受付開始から今四半期までに IPA に届出のあったウェブサイトの脆弱性関連情報 6,700 件のうち、不受理を除いた 6,534 件について、図 3-20 のグラフは脅威別の届出件数の割合を、図3-21 は過去 2 年間の脅威別届出件数の四半期別推移をそれぞれ示したものです。「クロスサイ
ト・スクリプティング」「DNS 情報の設定不備」「SQL インジェクション」などにより発生する、「本物サイト上への偽情報の表示」「ドメイン情報の挿入」「データの改ざん、消去」が全体の83%を占めています。

ウェブサイトの脆弱性がもたらす脅威別の届出状況
本物サイト上への偽情報の表示
ドメイン情報の挿入
データの改ざん、消去2%
2%
個人情報の漏洩2%
Cookie情報の漏洩
3%
サーバ内ファイルの漏洩
(3%)
なりすまし
4%
利用者のセキュリティレベルの低下 (4%)
その他

400件
350件

4%

300件
250件
200件
150件
100件

12%
(12%)
20%
(21%)
(6,534件の内訳、グラフの括弧内は前四半期までの数字)

50件

51%
(50%)

図3-20．脆弱性がもたらす脅威別の届出件数の割合

18

1Q 2Q
2011

3Q

4Q

0件
1Q 2Q 3Q 4Q
2012(過去2年間の届出内訳)

図3-21．脆弱性がもたらす脅威別の届出件数(四半期別推移)

3-2-4. ウェブサイトの脆弱性の修正完了状況
図 3-22 のグラフは、ウェブサイトの脆弱性について過去 3 年間の四半期別の修正完了件数を示しています。表 3-6 は、過去 3 年間の四半期末の時点で、修正が完了した全届出のうち、ウェブ
サイト運営者に脆弱性関連情報を通知してから、90 日以内に修正が完了した件数の割合を示したものです。2011 年以降について「90 日以内」に修正が完了した割合（7 割弱程度）に大きな変動はありません。
0-90日以内

四半期件数

91-300日以内

301日以上完了件数(四半期計)

500
400
300
200

2,886

3,052

修正完了
件数
90 日以内の件数
90 日以内
の割合

3,448

3,596

3,855

259
231

166
106

157

100
0

3,342

3,209

3,510

1Q
2010

2Q

3Q

4Q

1Q
2011

218

累計件数

4,549

5,000
4,500
4,000
3,500
3,000
2,500
2,000
1,500
1,000
500
0

4,436

192

171
113

86

62

133

4,073

4,265

完了件数(累計)

2Q

3Q

1Q
2012

4Q

2Q

3Q

4Q

図3-22．ウェブサイトの脆弱性の修正完了件数

2010
1Q

表 3-6．90 日以内に修正完了した件数および割合の推移
2011
2012
4Q
1Q
2Q
3Q
4Q
1Q
2Q
3Q

2Q

3Q

4Q

2,886

3,052

3,209

3,342

3,448

3,510

3,596

3,855

4,073

4,265

4,436

4,549

2,028

2,082

2,163

2,216

2,247

2,280

2,311

2,528

2,700

2,825

2,924

2,987

70%

68%

67%

66%

65%

65%

64%

66%

66%

66%

66%

66%

19

図 3-23 および図 3-24 は、ウェブサイト運営者に脆弱性関連情報を通知してから修正されるまでに要した日数およびその傾向を脆弱性の種類別に示したものです（*16）。全体の 47%の届出が30 日以内、全体の 66%の届出が 90 日以内に修正されています。
66%(90日以内の修正)800件

その他(186件)
HTTPSの不適切な利用(29件)
メールの第三者中継(37件)
認証に関する不備(46件)
セッション管理の不備(59件)
ディレクトリ・トラバーサル(65件)
HTTPレスポンス分割(101件)
ファイルの誤った公開(108件)
DNS情報の設定不備(517件)
SQLインジェクション(632件)
クロスサイト・スクリプティング(2,769件)

700件
600件
500件
400件
300件
200件
100件
0件

0日

1日

2日

3日

4日
～5日

6日
11日
21日
31日
51日
91日 201日 301日～～7日 ～20日 ～30日 ～50日 ～90日 ～200日～300日

図3-23.ウェブサイトの修正に要した日数

クロスサイト・スクリプティング(2,769件)
SQLインジェクション(632件)
DNS情報の設定不備(517件)
ファイルの誤った公開(108件)
HTTPレスポンス分割(101件)
ディレクトリ・トラバーサル(65件)セッション管理の不備(59件)
認証に関する不備(46件)
メールの第三者中継(37件)
HTTPSの不適切な利用(29件)
その他(186件)～10日

11日～20日

0%

20%

40%

60%

21日～30日

31日～50日

51日～90日

91日～200日

80%

100%

201日～300日

301日～

図3-24.ウェブサイトの修正に要した脆弱性種類別の日数の傾向（ *16）

運営者から修正完了の報告があったもの、および、脆弱性が修正されたと IPA で判断したものも含めて示しています。なお、0 日は詳細情報を通知した当日に修正されたもの、または運営者へ詳細情報を通知する前に修正された
ものです。

20

3-2-5. ウェブサイトの脆弱性の取扱中の状況
ウェブサイト運営者から脆弱性を修正した旨の通知が無い場合、IPA は脆弱性が攻撃された場合の危険性を分かりやすく解説することや、1～2 か月毎に電子メールや電話、郵送などの手段で脆弱性対策の実施を促しています。
図 3-25 は、ウェブサイトの脆弱性関連情報のうち、取扱いが長期化（IPA からウェブサイト運営者へ脆弱性関連情報を通知してから、90 日以上脆弱性を修正した旨の報告が無い）しているものについて、経過日数別の件数を示したものです。経過日数が 90 日から 199 日に達したものは53 件、200 日から 299 日のものは 36 件など、これらの合計は 296 件（前四半期は 302 件）です。
前四半期末までの取扱い長期化 302 件のうち今四半期に 48 件が取扱い終了となった一方、新たに 42 件が 90 日以上経過し取扱い長期化に加わり、合計で前四半期から取扱い長期化の件数が 6
件減少しました。
表 3-7 は、過去 2 年間の四半期末時点で取扱い中の届出について、取扱いが長期化している届
出件数および、長期化している割合の四半期別推移を示しています。今四半期は経過日数が 90
日から 199 日に達したもの、200 日から 299 日に達したもの、300 日から 399 日に達したものがいずれも前四半期よりも減少しています。一方、400 日から 499 日に達したものが前四半期の 8倍に増加しています。これは、2011 年第 3 四半期以降の届出が、修正されずに長期化したためです。
（長期化 合計296件）

120件
100件
80件
60件

53

40件

6
3

20件

36

102

その他
SQLインジェクション
クロスサイト・スクリプティング

43

20
31

34

3

2
1

44

33

40

32

90～
199日

200～
299日

300～
399日

400～
499日

2

3

7

2
1

2
23

500～
599日

600～
699日

0件

3
2
1
700～
799日

9

4
32

800～
899日

6

51

6
900～
999日

1000日
以上

図3-25.取扱いが長期化(90日以上経過)しているウェブサイトの経過日数と脆弱性の種類
表 3-7．取扱いが長期化している届出件数および割合の四半期別推移
取扱い中件数

2011
１Q
388 件

2Q
344 件

3Q
435 件

4Q
541 件

2012
1Q
527 件

2Q
449 件

3Q
423 件

4Q
473 件

長期化している件数

309 件

289 件

228 件

237 件

298 件

318 件

302 件

296 件

長期化している割合

80%

84%

53%

44%

57%

71%

71%

63%

ウェブサイトの情報が盗まれてしまう可能性のある SQL インジェクションのように、深刻度の高い脆弱性でも修正が長期化しているものがあります。ウェブサイト運営者は脆弱性を攻撃された場合の影響度を認識し、迅速な対策を講じる必要があります。

21

4. 関係者への要望
脆弱性の修正促進のための、各関係者への要望は以下のとおりです。

4-1. ウェブサイト運営者
多くのウェブサイトで利用しているソフトウェアに脆弱性が発見されています。自身のウェブ
サイトでどのようなソフトウェアを利用しているかを把握し、脆弱性対策を実施することが必要です。
なお、脆弱性の理解にあたっては、以下の IPA が提供するコンテンツが利用できます。
「知っていますか？脆弱性（ぜいじゃくせい）」： http://www.ipa.go.jp/security/vuln/vuln_contents/「安全なウェブサイト運営入門」： http://www.ipa.go.jp/security/vuln/7incidents/
また、対策実施にあたっては、以下のコンテンツが利用できます。
「安全なウェブサイトの作り方」：http://www.ipa.go.jp/security/vuln/websecurity.html「安全な SQL の呼び出し方」：http://www.ipa.go.jp/security/vuln/websecurity.html「Web Application Firewall 読本」：http://www.ipa.go.jp/security/vuln/waf.html
また、ウェブサイトの脆弱性診断実施にあたっては、以下のコンテンツが利用できます。
「ウェブ健康診断仕様」：http://www.ipa.go.jp/security/vuln/websecurity.html

4-2. 製品開発者
JPCERT/CC は、ソフトウェア製品の脆弱性関連情報について、「製品開発者リスト」に基づき、一般公表日の調整等を行います。迅速な調整を進められるよう、「製品開発者リスト」へ登録ください（URL：https://www.jpcert.or.jp/vh/regist.html）。また、製品開発者自身が自社製品に関する脆
弱性関連情報を発見した場合も、対策情報を利用者へ周知するために JVN を活用できます。
JPCERT/CC もしくは IPA へ連絡してください。
なお、製品開発にあたっては、以下のコンテンツが利用できます。
「TCP/IP に係る既知の脆弱性検証ツール」：
http://www.ipa.go.jp/security/vuln/vuln_TCPIP_Check.html「TCP/IP に係る既知の脆弱性に関する調査報告書」：
http://www.ipa.go.jp/security/vuln/vuln_TCPIP.html「組込みシステムのセキュリティへの取組みガイド（2010 年度改訂版）」：
http://www.ipa.go.jp/security/fy22/reports/emb_app2010/「ファジング活用の手引き」、「ファジング実践資料」：
http://www.ipa.go.jp/security/vuln/fuzzing.html

4-3. 一般インターネットユーザー
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がける必要があります。脆弱性があるソフトウェアを使い続けることは避けなければなりません。
なお、MyJVN（URL：http://jvndb.jvn.jp/apis/myjvn/）では以下のツールを提供しています。
「MyJVN 情報収集ツール」：http://jvndb.jvn.jp/apis/myjvn/mjcheck.html
脆弱性対策情報を効率的に収集するためのツール。
「MyJVN バージョンチェッカ」：http://jvndb.jvn.jp/apis/myjvn/vccheck.html
利用者の PC、サーバ上にインストールされたソフトウェア製品のバージョンを容易にチェックする等の機能。

22

4-4. 発見者
脆弱性関連情報の適切な流通のため、届出した脆弱性関連情報については、脆弱性が修正されるまでの期間は第三者に漏れぬよう、適切に管理されることを求めます。

23

付表 1. ソフトウェア製品 脆弱性の原因分類
脆弱性の原因説明

届出において想定された脅威1

設定情報の漏洩通信の不正中継
ア ク セ ス 制 御 の 不 アクセス制御を行うべき個所において、なりすまし
備
アクセス制御が欠如している。
任意のスクリプトの実行
認証情報の漏洩2

アクセス制限の回避
価格等の改ざん
サービス不能
資源の枯渇
ウェブアプリケーションに対し、入力さ重要情報の漏洩れた情報の内容の解釈や認証情報の取情報の漏洩
ウ ェ ブ ア プ リ ケ ー 扱い、出力時の処理に問題がある。「クセッション・ハイジャック
ションの脆弱性
ロスサイト・スクリプティング」攻撃や通信の不正中継「SQL インジェクション」攻撃などになりすまし利用されてしまう。
任意のコマンドの実行
任意のスクリプトの実行
任意のファイルへのアクセス
認証情報の漏洩3

仕様上の不備4

ウェブブラウザやメールクライアント
ソフトに証明書を検証する機能が実装
証明書の検証に関証明書の確認不能されていない、または、検証が正しく行
する不備
なりすまし
われずに、偽の証明書を受けいれてしまう。

5

本来、厳しい制限のあるセキュリティコ アプリケーションの異常終了
セキュリティコン
ンテキストで取り扱うべき処理を、緩い 情報の漏洩
テキストの適用の制限のセキュリティコンテキストで処 任意のコードの実行
不備
任意のスクリプトの実行
理してしまう。

6

想定外の長さの入力が行われた場合に、サービス不能バ ッ フ ァ の チ ェ ッ 長さをチェックせずバッファに入力し任意のコードの実行
クの不備てしまう。「バッファオーバーフロー」
任意のコマンドの実行攻撃に利用されてしまう。

7

処理の際のパラメータとして指定されているディレクトリ名やファイル名、ファイルの内容をチェックしていない。任 アプリケーションの異常終了
ファイルのパス名、 意のディレクトリのファイルを指定で サービス不能
内 容 の チ ェ ッ ク の きてしまい、「ディレクトリ・トラバー 資源の枯渇
不備
サル」攻撃に利用されてしまう。また、 任意のファイルへのアクセス破損したファイルや不正に書き換えら 認証情報の漏洩れたファイルを処理した際に不具合が生じる。

RFC 等の公開された規格に準拠して、 サービス不能
設計、実装した結果、問題が生じるもの。 資源の枯渇

24

付表 2. ウェブサイト脆弱性の分類
脆弱性の種類

深刻度

説明

届出において想定された脅威高個人情報の漏洩
一般に公開すべきでないファイルが公開さ サーバ内ファイルの漏れており、自由に閲覧できる状態になって 洩いる
データの改ざん、消去
なりすまし

2

パス名パラメータの未チェック

高ユーザからの入力を処理する際のパラメー
タとして指定されているファイル名を、ユ サーバ内ファイルの漏ーザが変更し、ウェブサーバ上の任意のデ 洩ィレクトリのファイルを指定できてしまう

3

ディレクトリ･トラバーサル

高ウェブサーバ上のディレクトリのアクセス 個人情報の漏洩権を超えて、本来許可されている範囲外の サーバ内ファイルの漏洩
ディレクトリにアクセスできる

4

セッション管理の不備高セッション管理に、推測可能な情報を使用
Cookie 情報の漏洩しているため、他のユーザの情報が容易に
個人情報の漏洩
推測でき、他のユーザになりすまして、サ
なりすましービスを利用することができる

5

SQL インジェクション

高

個人情報の漏洩
入力フォームなどへ SQL コマンド（データサーバ内ファイルの漏
ベースへの命令）を入力し、データベース
洩
内の情報の閲覧、更新、削除などができる
データの改ざん、消去

6

DNS 情報の設定不備

高

DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名の持ち主 ドメイン情報の挿入
であるかのようにふるまえてしまう中

外部の第三者により、他のサーバへのアクセスを中継するサーバとして利用され、不踏み台
正アクセスなどの際にアクセス元を隠すた
めの踏み台にされてしまう中

Cookie 情報の漏洩
サーバ内ファイルの漏
ユーザの Cookie 情報を知らないうちに転 洩送させたり、偽の情報を表示させたりする 個人情報の漏洩
ような罠のリンクをユーザにクリックさ データの改ざん、消去
せ、個人情報等を盗むことができる
なりすまし
本物サイト上への偽情報の表示

中ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそかにア
データの改ざん、消去
クセスさせ、登録情報の変更や商品の購入をさせることができる

中

攻撃者がユーザに対し、悪意のある要求をウェブサーバに送信するように仕向けるこ
ウェブキャッシュ情報とで、ウェブサーバからの応答を分割させのすり替えて応答内容をすり替え、ユーザに対して偽のページを表示させることができる

中

ユーザに対し、ソフトウェアをインストー
ルさせたり、ブラウザのセキュリティレベ 利用者のセキュリティ
ルを下げるよう指示することでクライアン レベルの低下
ト PC のセキュリティ設定を低下させる

中

ウェブサーバに設置したリダイレクタが悪踏み台
意あるリンクへの踏み台にされたり、その本物サイト上への偽情
ウェブサイト上で別のサイト上のページを報の表示表示させられてしまう

1

ファイルの誤った公開7

オープンプロキシ

8

クロスサイト･
スクリプティング

9

クロスサイト・リク
エスト・フォージェ
リ

10

HTTP レスポンス分
割

セキュリティ設定の11
不適切な変更リダイレクタの不適
12
切な利用

25

脆弱性の種類

深刻度

届出において想定された脅威説明中

ウェブサイトのサービスやブラウザの機能として提供されているフィルタリング機能 利用者のセキュリティが回避される問題。これにより、本来制限 レベルの低下されるはずのウェブページを閲覧してしま なりすましう

中

攻撃者がウェブアプリケーションを介してウェブサーバの OS コマンドを実行できてしまい、サーバ内ファイルの閲覧やシステ 任意のコマンドの実行
ム操作、不正なプログラムの実行などを行
われてしまう低利用者が入力した内容を管理者が指定した
メールアドレスに送信する機能で、外部のメールシステムの不正利用者が宛先メールアドレスを自由に指定利用できてしまい、迷惑メール送信の踏み台に悪用されるHTTPS の不適 切 な
16 利用

低

HTTPS による暗号化をしているが、暗号の選択や設定が十分でなかったり、ウェブサ
イトでのユーザへの説明に間違いがある、 なりすまし
または、ウェブサイトの設計上、ユーザから証明書が確認できない

17 価格等の改ざん

低ショッピングサイトにおいて、価格情報等
が利用者側で書き換えられる。書き換えに データの改ざんよる被害は、ウェブサイト側に限定される

フィルタリングの回
13 避

14OS コマンド・インジ
ェクション

15 メールの第三者中継

・API: Application Program Interface

・RFC: Request For Comments

・CGI: Common Gateway Interface

・SQL: Structured Query Language

・DNS: Domain Name System

・SSI: Server Side Include

・HTTP: Hypertext Transfer Protocol

・SSL: Secure Socket Layer

・HTTPS: Hypertext Transfer Protocol Security

・TCP: Transmission Control Protocol

・URI: Uniform Resource Identifier・URL: Uniform Resource Locator・ISAKMP : Internet Security Association
Key Management Protocol: Multipurpose Internet Mail Extension

・MIME

付図１．「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み）
脆弱性関連情報流通体制

脆弱性関連
情報届出

発見者

ソフトウェア
製品の脆弱性

脆弱性関連
情報通知

受付・分析機関
報告された
脆弱性関連情報の内容確認・検証

対応状況の集約、
公表日の調整等

調整機関

脆弱性対策情報ポータル

対応状況等
公表

公表日の決定、
海外の調整機関との連携等
ソフトウェア
システム
製品開発者
導入支援者
検証、対策実施

分析支援機関セキュリティ対策推進協議会等

ウェブサイトの
脆弱性

脆弱性関連
情報届出

産総研など

脆弱性関連情報通知

ウェブサイト運営者

ユーザ

政府
企業
個人

個人情報の漏えい時は事実関係を公表

検証、対策実施①製品開発者及びウェブサイト運営者による脆弱性対策を促進【期待効果】 ②不用意な脆弱性関連情報の公表や脆弱性の放置を抑制③個人情報等需要情報の流出や重要システムの停止を予防※IPA:独立行政法人 情報処理推進機構, JPCERT/CC:一般社団法人 JPCERTコーディネーションセンター、産総研：独立行政法人 産業技術総合研究所

26