プレスリリース
2008 年 10 月 14 日
独立行政法人 情報処理推進機構
有限責任中間法人 JPCERT コーディネーションセンター

ソフトウェア等の脆弱性関連情報に関する届出状況 [2008 年第 3 四半期(7 月～9 月)]
独立行政法人情報処理推進機構（略称：IPA、理事長：西垣 浩司）および有限責任中間法人 JPCERTコーディネーションセンター（略称：JPCERT/CC、代表理事：歌代 和正）は、2008 年第 3 四半期（7 月～9 月）の脆弱性関連情報の届出状況1をまとめました。

2008 年第 3 四半期（2008 年 7 月 1 日から 9 月 30 日ま

表 1. 2008 年第 3 四半期の届出件数

で）の IPA への脆弱性関連情報の届出件数は、ソフトウェ

分類

ア製品に関するもの 55 件、ウェブアプリケーション（ウェブサイト）に関するもの 509 件、合計 564 件でした。

届出件数

累計件数

ソフトウェア製品

55 件

802 件

ウェブサイト509 件

2,084 件

564 件

2,886 件

届出受付開始（2004 年 7 月 8 日）からの累計は、ソフト計

ウェア製品に関するもの 802 件、ウェブサイトに関するもの 2,084 件、合計 2,886 件で、ウェブサイトに関する届出が全体の約 4 分の 3 を占めています（表 1）。
届出が年々増加しており、届出受付開始（2004 年 7 月 8 日）から各四半期末までの業務日 1 日あたりの届出件数が、今四半期で 2.79 件となりました（図 1）。
2008 年第 3 四半期はウェブサイトの脆弱性の届出が 509 件で、届出件数が突出して激増しました。
これは、2008 年 8 月から DNS キャッシュポイズニングの脆弱性の届出が激増しているためです。全てのウェブサイト運営者は早急な調査と対策実施が必要です。詳細は P.5 の 3.2 節 3.3 節を参照下さい。
就業日 1 日あたりの届出件数（届出受付開始から各四半期末時点）
2005/1Q

2006/1Q

2007/1Q

2007/2Q

2007/3Q

2007/4Q

2008/1Q

2008/2Q

2008/3Q

1.45

1.61

1.95

1.98

2.03

2.05

2.24

2.38

2.79

ウェブサイトに関する届出
600ソフトウェア製品に関する届出
2,084
550ソフトウェア製品に関する届出（累計）
ウェブサイトに関する届出（累計）
500
1,575
450
1,367
400
1,123
350
1,043
四 300
940
802
250
749 845678 747
661
半 200
626
564
560
465 511434 507
期 150
428
379
277
208
509
244
264 303件 100
178
140 211143
46 67 100 43 55 35 73 86 57 39 97 125 88 37 96 46 95 49 103 66 80 53 69 55
数 50 19 73
0
14 67 13 71 21 66 33 102
3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q
20042004200520052005200520062006200620062007200720072007200820082008

2,500
2,000
1,500
1,000

累
計
500
件
数

0

図１.脆弱性関連情報の届出件数の四半期別推移
1

ソフトウェア等の脆弱性関連情報に関する届出制度：経済産業省告示に基づき、2004 年 7 月より開始しました。
IPA は届出受付・分析、JPCERT/CC は国内の製品開発者などの関連組織との調整を行っています。

1

1.脆弱性の取扱い概況
2008 年第 3 四半期は、ソフトウェア製品に関しては 37 件の取扱いが終了2しましたが、届出が 55件あったため、取扱い中は 18 件増加して累計 337 件となりました。ウェブサイトに関しては 161 件の取扱いが終了3しましたが、届出が 509 件あったため、取扱い中が 348 件増加して累計 698 件となりました。
図 2 は、ソフトウェア製品に関して各四半期に届出のあったものの現在の取扱い状況です。例えば、
2006 年第 3 四半期に届出のあったものは、23 件の取扱いを終了しましたが 16 件は取扱い中です。また、2007 年第 3 四半期に届出のあったものは、26 件の取扱いを終了しましたが 23 件は取扱い中です。
このように、ソフトウェア製品に関しては、2006 年に届出られたものでも、今だ 36%が取扱い中のままです。2007 年に届出られたものは、47%が取扱い中のままです。ソフトウェア製品開発者は、脆弱性を攻撃された場合の顧客システムへの影響の重大さを認識し、早期に対策を講じる必要があります。

140

取扱い終了

120

件
数

取扱い中

100

83

80
60

50

40
20
0

32

23

26
23

22

30

26

5

24

46 50
31
42
28
36
11
21
40
19
12
16
15 16 2311 8
32
1
3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q
20042004200520052005200520062006200620062007200720072007200820082008
27

図２．ソフトウェア製品に関して各四半期に届出のあったものの現在の状況
ウェブサイトに関しては、2007 年に届出られたものの 20%が取扱い中のままです（図 3）。ウェブサ
イト運営者は、脆弱性を攻撃された場合の重大さを認識し、早期に対策を講じる必要があります。

件
数

500
450
400
350
300
250
200
150
100
50
0

53

取扱い終了
取扱い中

456
179 132
81 82 54
62 100 50 69 54 95 80 84
65 76
8 12 14 21 26
5
4
4
3
2
2
3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q
20042004200520052005200520062006200620062007200720072007200820082008
73

67

71

図３．ウェブサイトに関して各四半期に届出のあったものの現在の状況
2
3

ソフトウェア製品開発者が修正完了したもの、脆弱性ではないと判断したもの、不受理のもの。
ウェブサイト運営者が修正完了したもの、脆弱性ではないと判断したもの、連絡不可能なもの、不受理のもの。

2

2.ソフトウェア製品の脆弱性の処理状況
表 2．ソフトウェア製品の脆弱性の終了件数

2008 年第 3 四半期のソフトウェア製品の脆弱性の処理

分類

状況は、JPCERT/CC が調整を行い、製品開発者が脆弱性の修正を完了し、JVN4で対策情報を公表したものは 25 件修正完了でした。製品開発者からの届出のうち JVN で公表せず製

件数

累計件数

公表済み

25 件

299 件

個別対応

0件

16 件

品開発者が個別対応を行ったものは 0 件、製品開発者が脆弱性ではない

0件

34 件

脆弱性ではないと判断したものは 0 件、告示で定める届

不受理

12 件

116 件

37 件

465 件

出の対象に該当せず不受理としたものは 12 件でした。こ合計

れらの取扱いを終了したものの合計は 37 件（累計 465件）です（表 2）。
この他、海外の CSIRT5から JPCERT/CC が連絡を受けた 18 件（累計 374 件）を JVN で公表しました。これらの、公表済み件数の期別推移を図 4 に示します。
国内発見者からの届出
70
国内発見者からの届出(累計)
60

四
半
期
件
数

海外のCSIRTからの連絡
海外のCSIRTからの連絡（累計）

50

238

40
30

133

20
10
0

54
34 17

114
71 97
59 67
45
30

147
89

183
117

203
142

170

261
193

286
211

303

327

242 261356 374 400
274

299

350
300
250 累
200 計
150 件
100 数

3 12 7 22 7 20 13 17 15 26 14 17 8 19 22 14 28 36 25

20 28 35 23 23 18 25 31 17 19 24 13 29 25 1850
0

3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q
20042004200520052005200520062006200620062007200720072007200820082008

図４.ソフトウェア製品の脆弱性対策情報の公表件数
なお、2008 年第 3 四半期において、JVN で対策情報を公表した主なものは、以下のとおりです。
(1)「ウイルスセキュリティ」および「ウイルスセキュリティ ZERO」における脆弱性6
ソースネクスト株式会社が提供するウイルス対策ソフトの「ウイルスセキュリティ」および「ウイルスセキュリティ ZERO」のファイルのスキャン処理において圧縮ファイルの取扱いに問題があり、サービス運用妨害(DoS7)状態となる脆弱性が存在しました。この弱点が悪用されると、「ウイルスセキュリ
ティ」および「ウイルスセキュリティ ZERO」のスキャン処理が停止し、以降ウイルスが検知できなくなってしまうため、ウイルスに感染しやすくなる可能性があり、8 月 12 日に JVN で対策情報を公表しました。

4

Japan Vulnerability Notes。脆弱性対策情報ポータルサイト。国内で利用されている製品の脆弱性対策情報を公開し、システムのセキュリティ対策を支援しています。IPA、JPCERT/CC が共同で運営しています。http://jvn.jp/
5Computer Security Incident Response Team。コンピュータセキュリティインシデント対応チーム。コンピュータセ
キュリティに関するインシデント（事故）への対応・調整・サポートをする組織です。
6
本脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.3、別紙 P.5 表 1-2 項番 10 を参照下さい。
7
Denial of Service。サービス不能状態。

3

(2) 複数のパナソニック コミュニケーションズ株式会社製ネットワークカメラにおけるクロスサイ
ト・スクリプティングの脆弱性8
複数のパナソニック コミュニケーションズ株式会社製「ネットワークカメラ」には、クロスサイト・
スクリプティングの問題がありました。このため、第三者によりウェブページにスクリプトを埋め込まれる可能性があり、7 月 31 日に JVN で対策情報を公表しました。
組込みソフトウェアの脆弱性は、この他に「複数のセンチュリー・システムズ株式会社製ルータにお「iPod touch および iPhone に搭載されてけるクロスサイト・リクエスト・フォージェリの脆弱性」9、
いる Safari において証明書が不正に受け入れられる脆弱性」10の脆弱性対策情報を公表しました。

3.ウェブサイトの脆弱性の処理状況

表 3．ウェブサイトの脆弱性の終了件数

2008 年第 3 四半期のウェブサイトの脆弱性の処理状況
は、IPA が通知を行い、ウェブサイト運営者が修正を完了
したものは 155 件、ウェブサイト運営者が脆弱性ではな
いと判断したものは 5 件、ウェブサイト運営者と連絡が不可能なものが 0 件、告示で定める届出の対象に該当せず不受理としたものは 1 件でした。これらの取扱いを終

分類

件数

累計件数

155 件

1133 件

脆弱性ではない

5件

162 件

連絡不可能

0件

7件

不受理

1件

84 件

161 件

1,386 件

修正完了

了したものの合計は 161 件（累計 1,386 件）です（表 3）。

合計

これらのうち、修正完了件数の期別推移を図 5 に示します。
ウェブサイト脆弱性の修正完了(累計)220 ウェブサイト脆弱性の修正完了
1,133
1200
200
978
180
1000
815
160
748
四 140
655
800 累
629
半 120
543
600 計
477
100
期 80
360 415
件
323
400
269
件 60
数
214
148
数 40
200
110
60
20
66 55 54 37 55 62 66 86 26 93 67 163 155
18
50 38
0
0
42
2Q 3Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q
20042004200520052005200520062006200620062007200720072007200820082008

図５.ウェブサイトの脆弱性の修正完了件数
3.1 届出のあったウェブサイトの運営主体の内訳と脆弱性の種類
今四半期に脆弱性の届出のあった対象ウェブサイトの運営主体別内訳は、企業合計が 53%、政府機関
が 6％、地方公共団体が 34％、団体（協会・社団法人）が 3％、個人が 3％などとなっています（図 6）。
また、今四半期に届出のあったウェブサイトの脆弱性の種類の内訳は、DNS(Domain Name System)11
情報の設定不備が 56%、クロスサイト・スクリプティングが 18%、SQL インジェクションが 14%、ディレクトリ・トラバーサルが 7%、セッション管理の不備が 1%などとなっています（図 7）。
広く知れ渡っている脆弱性が数多く届出られており、ウェブサイト開発者は既知の脆弱性を認識し、ウェブサイトの企画・設計段階からのセキュリティの考慮が必要です。
8

本脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.3、別紙 P.5 表 1-2 項番 9 を参照下さい。
本脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.0、別紙 P.4 表 1-2 項番 5 を参照下さい。
10
本脆弱性の深刻度=レベル I（注意）、CVSS 基本値=2.6、別紙 P.6 表 1-2 項番 21 を参照下さい。
11
コンピュータがネットワークのどこに接続されているかを示す IP アドレスという数字の集まりを、www.ipa.go.jp のような人に覚えやすいドメイン表記と対応させるための情報を管理する仕組みです。
94

DNS情報の設定不備

企業（株式・上場）

3%

3% 1%
11%

34%

4%

1%
企業（有限会社、他） 7%
企業（株式・非上場）

SQLインジェクション

政府機関

37%

地方公共団体14%

団体(協会・社団法人)

5%

56%

その他

その他

企業合計：53％

ディレクトリ・トラバーサ
ル
セッション管理の不備

18%

個人

6%

クロスサイト・スクリプ
ティング

図６.ウェブサイトの運営主体（2008年第3四半期）

図７.ウェブサイトの脆弱性の種類（2008年第3四半期）

3.2 2008 年 8 月から DNS キャッシュポイズニングの脆弱性の届出が激増
図 7 に示すように、2008 年第 3 四半期は DNS 情報の設定不備の届出件数が突出して激増しました。
これは、DNS(Domain Name System)キャッシュポイズニングの脆弱性に関して、「実際に運用中のウェブサイトの DNS サーバに、対策を実施していないのではないか？」という旨の届出が激増したためです。
図 8 に示すように 8 月 11 日の週から届出があり、9 月に入ってからは、毎週数十件にのぼっています（累計 283 件、9 月 30 日まで）。通常の脆弱性の届出は、毎週 10～20 件程度であることから、DNS
キャッシュポイズニングの脆弱性の届出件数が突出して激増していると言えます。
この脆弱性に関しては、2008 年 7 月に複数の DNS サーバ製品の開発ベンダーから対策情報が公開さ
れ12、JPCERT/CC が 2008 年 7 月 9 日に注意喚起13を、また、IPA が 2008 年 7 月 24 日に緊急対策情報
14を、2008 年 9 月 18 日に注意喚起15を発行しました。
100
80
60

件
数 40
20

60
1

2

65

7

83
40

25

0
2008年 8/11の週 8/18の週 8/25の週

9/1の週

9/8の週

9/15の週 9/22の週 9/29の週(9月30日まで)

図８．DNSキャッシュポイズニングの脆弱性の届出件数の推移

3.3 DNS キャッシュポイズニングの脆弱性の脅威
DNS キャッシュポイズニングは、DNS キャッシュサーバ16に偽の情報(毒)を混入させる攻撃手法です。
DNS キャッシュサーバは一般に、ネットワーク管理者がその組織内の構成員に提供するものです。このため、DNS キャッシュポイズニングの影響は、通常、当該組織内に限定されます。
12

脆弱性対策情報データベース JVN iPedia「複数の DNS 実装にキャッシュポイズニングの脆弱性」を参照。
http://jvndb.jvn.jp/ja/contents/2008/JVNDB-2008-001495.html
13
複数の DNS サーバ製品におけるキャッシュポイズニングの脆弱性。
http://www.jpcert.or.jp/at/2008/at080013.txt
14
複数の DNS 製品の脆弱性について。
http://www.ipa.go.jp/security/ciadr/vul/20080724-dns.html
15
DNS キャッシュポイズニングの脆弱性に関する注意喚起。
http://www.ipa.go.jp/security/vuln/documents/2008/200809_DNS.html
16
DNS サーバには、自分の管理しているドメインのみに関する情報を返す「DNS コンテンツサーバ」と、ユーザ等が利用するクライアントプログラムからの要求に応じて、ドメイン名から IP アドレスを、あるいは、IP アドレスからドメ
イン名を回答する「DNS キャッシュサーバ」があります。

5

また、一般的にウェブサイト運営者が外部の利用者へ提供するのは、DNS コンテンツサーバであり、DNS キャッシュサーバは提供しません。このため通常、ウェブサイトは DNS キャッシュポイズニングの影響を受けることはありません。
しかし、DNS キャッシュサーバが DNS コンテンツサーバを兼ねている構成のウェブサイトは少なくありません。このような構成で DNS の脆弱性の問題がある場合、ウェブサイト自体や第三者への脅威が発生する可能性があります。IPA はこれをウェブサイトの脆弱性として受け付けています。
脆弱性への対策を怠り悪用された場合、サイト運営組織内の利用者が、正しいウェブサイトの宛先を指定したにもかかわらず、知らぬ間に悪意のあるサイトに誘導され、金銭被害や個人情報漏えいの被害を受けてしまう可能性があります。結果として、サイト運営者は組織としての社会的な信頼の失墜や、経済的損失を被ることにもなりかねません。
脆弱性が届出られたウェブサイトの運営者は、政府機関、地方公共団体、民間企業など広範囲に渡っています。個人情報を扱っているような社会的影響の大きいウェブサイトの DNS サーバについても多数の届出があり、各サイトの運営者は早急な調査と対策実施が必要です。

3.4 ウェブサイトの脆弱性で 90 日以上対策が未完了のものは 179 件
IPA は、ウェブサイト運営者から脆弱性対策の返信がない場合、脆弱性が攻撃された場合の脅威を丁寧に解説するなど、1～2 カ月毎にメールや郵送手段などで脆弱性対策を促しています。また、今四半期
は、特に修正が長期化しているウェブサイト運営者に面会するなど、更に脆弱性対策を促しました。
この結果、図 9 に示すように、ウェブサイトの脆弱性で 90 日以上も対策が完了していないものは、
前四半期から 28 件減少しました。しかし、今四半期で新たに 71 件が 90 日以上となったため、43件増加し累計で 179 件（前四半期は 136 件）となりました。また、300 日以上も対策が完了していないものが 10 件増加し累計で 76 件（前四半期は 66 件）となりました。
ウェブサイトの情報が盗まれてしまう可能性のある SQL インジェクションのように、深刻度の高い脆弱性でも修正が長期化しているものがあります。ウェブサイト運営者は脆弱性を攻撃された場合の脅威を認識し、早期に対策を講じる必要があります。
100

その他

80

SQLインジェクション

60

クロスサイト・スクリプティング

0

108
76

累計件数（右目盛）

件 40
数
20

179

2
2

8
5
1
2
2
1

14
3
3

17

20

111

111

27
4

3

43
1
7
8

8
10

58
2
8
5

3
9
6

10
3
19

53

200
150

累
計
50 件
数
100

0

1200日 1199～ 1099～ 999～ 899～ 799～ 699～ 599～ 499～ 399～ 299～ 199～
以上 1100日 1000日 900日 800日 700日 600日 500日 400日 300日 200日 90日

図９．修正が長期化しているウェブサイトの未修正の経過日数と脆弱性の種類■ 本件に関するお問い合わせ先
独立行政法人 情報処理推進機構 セキュリティセンター 山岸／渡辺
Tel: 03-5978-7527 Fax: 03-5978-7518 E-mail: vuln-inq@ipa.go.jp
有限責任中間法人 JPCERT コーディネーションセンター 情報流通対策グループ
Tel: 03-3518-4600 Fax: 03-3518-4602 E-mail: office@jpcert.or.jp■ 報道関係からのお問い合わせ先
独立行政法人 情報処理推進機構 戦略企画部広報グループ 横山／大海Tel: 03-5978-7503 Fax: 03-5978-7510 E-mail: pr-inq@ipa.go.jp
有限責任中間法人 JPCERT コーディネーションセンター 経営企画室 広報 江田
Tel: 03-3518-4600 Fax: 03-3518-4602 E-mail: pr@jpcert.or.jp

6

古田

別紙

1. ソフトウェア製品の脆弱性の処理状況の詳細
1.1 ソフトウェア製品の脆弱性の処理状況
ソフトウェア製品の脆弱性関連情報の届出について、処理状況を図 1-1 に示します。今四半期に公表した脆弱性は、25 件（累計 299 件）です。また、「不受理」としたものは 12 件（累計116 件）です。
取扱い終了：331件
2007年
9月末

211

12 29

(括弧内の数値は、今四半期に合計： 「公表」「個別対応」「脆弱性では560件 ない」と判断されたものの件数)

229

79

372件
2007年
12月末

242

合計：626件

254

87

12 31

405件
2008年
3月末

261

14 31

合計：678件

273

99

428件
2008年
6月末

274

16 34

合計：747件

319

104

465件(37件)
2008年
9月末

公表済み 299 (25)

16 34

不受理

(0) (0)116 (12)

取扱い中 337

合計：802件

個別対応 脆弱性ではない

0

100

200

300

400

500

600

700

800

900

公表済み:

JVN で脆弱性への対応状況を公表したもの

個別対応:

製品開発者からの届出のうち、製品開発者が個別対応したもの

脆弱性ではない:

製品開発者により脆弱性ではないと判断されたもの

不受理:

告示で定める届出の対象に該当しないもの

取扱い中:

製品開発者が調査、対応中のもの

図 1-1.ソフトウェア製品 各時点における脆弱性関連情報の届出の処理状況

1.2 届出られた製品の種類
届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報
802 件のうち、不受理のものを除いた 686 件の製品種類別の内訳を図 1-2 に示します。
図 1-2 に示すように、IPA に届出があった脆弱性には、「ウェブアプリケーションソフト」に関するものが多くあります。

2%
1%
2%
3%

2%

1%

8%
41%(40%)

3%
3%
3%
5%
(4%)
7%
(7%)

ウェブアプリケーションソフト
ウェブブラウザ
グループウェア
アプリケーション開発・実行環境
ルータ
ウェブサーバメールソフトシステム管理ソフト
アンチウイルスソフト
検索システム
周辺機器
ファイル管理ソフト
OS
ワープロソフトその他

11%8%(11%) (686件の内訳、グラフの括弧内は前四半期の数字)(8%)※その他には、携帯機器、情報家電、IP電話、データベース、プロキシなどがあります。

図1-2.ソフトウェア製品の脆弱性 製品種類別内訳(届出受付開始から2008年9月末まで)

1届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報
802 件のうち、不受理のものを除いた 686 件について、オープンソースソフトウェアとそれ以外のソフトウェアの脆弱性の届出件数の推移を図 1-3 に示します。2005 年第 3 四半期以降、オー
プンソースソフトウェアの届出が増加し、今四半期も 21 件の届出がありました。
120
オープンソースソフトウェア
それ以外

100

33

80
60

8
52

40
20
0

74
15
1
15

1
11

3Q 4Q
2004

4
9
1Q
2005

2
16

12
11

19

2Q

3Q

4Q

10
14
1Q
2006

19
20

14

2Q

3Q

4Q

19

11

25

25

33

1Q
2007

2Q

3Q

9

26

21

30

33

33

1Q
2008

2Q

3Q

9
52

4Q

図1-3.オープンソースソフトウェアの脆弱性の届出件数(686件の内訳)

1.3 脆弱性の原因と脅威
届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報
802 件のうち、不受理のものを除いた 686 件の原因別の内訳を図 1-4 に、原因別の届出件数の推移を図 1-5 に、脅威別の内訳を図 1-6 に示します。
図 1-4 に示すように、脆弱性の原因は「ウェブアプリケーションの脆弱性」が最多であり、図1-6 に示すように、脅威についても「任意のスクリプト実行」が最多となっています。これは、「ウェブアプリケーションソフト」以外のソフトウェア製品であっても、ウェブブラウザから管理、使用するものが多くあり、そこに脆弱性が存在するためで、この傾向は図 1-5 に示すように、届出受付開始から続いています。
5%

ウェブアプリケーションの脆弱性

12%バッファのチェックの不備
仕様上の不備

2%
2%
2%
(3%)
3%
(3%)
3%
(3%)

65%
(64%)

アクセス制御の不備
ファイルのパス名、内容のチェックの不備
セキュリティコンテキストの適用の不備
証明書の検証に関する不備

6%
(7%)

その他実装上の不備
その他ウェブに関連する不備(686件の内訳、グラフの括弧内は前四半期の数字)

図1-4.ソフトウェア製品の脆弱性 原因別内訳(届出受付開始から2008年9月末まで)

2

その他ウェブに関連する不備

120

その他実装上の不備
証明書の検証に関する不備

100

セキュリティコンテキストの適用の不備
ファイルのパス名、内容のチェックの不備

80

アクセス制御の不備
仕様上の不備

60

バッファのチェックの不備
ウェブアプリケーションの脆弱性

40
20
0
3Q
2004

4Q

1Q
2005

2Q

3Q

4Q

1Q
2006

2Q

3Q

4Q

1Q
2007

2Q

3Q

4Q

1Q
2008

2Q

3Q

図1-5. ソフトウェア製品の脆弱性 原因別内訳 (届出受付開始から2008年9月末まで)

1%
2%
2%
2%
3%
3%

1%

4%

6%

48%
(48%)

5%
(5%)
7%
(7%)
7%
(7%)

9%
(8%)

任意のスクリプトの実行
情報の漏洩
なりすまし
任意のコードの実行
サービス不能任意のコマンドの実行
アクセス制限の回避
任意のファイルへのアクセス
通信の不正中継
認証情報の漏洩
データベースの不正操作
証明書等の確認不能
アプリケーションの異常終了
その他(686件の内訳、グラフの括弧内は前四半期の数字)

図1-6. ソフトウェア製品の脆弱性 脅威別内訳 (届出受付開始から 2008年9月末まで)

1.4 ソフトウェア製品の脆弱性情報の調整および公表状況
JPCERT/CC は、表 1-1 に示す 2 種類の脆弱性関連情報について、日本国内の製品開発者等の関係者との調整、および海外 CSIRT17 の協力のもと、海外の製品開発者との調整を行っています。
これらの脆弱性関連情報に対する製品開発者の対応状況は、IPA と JPCERT/CC が共同運営している脆弱性対策情報ポータルサイト JVN（Japan Vulnerability Notes）において公表しています（URL： http://jvn.jp/ ）表 1-1．脆弱性関連情報の提供元別 脆弱性公表件数
情報提供元
今期
累計
国内の発見者から IPA に届出があったもの、および、製品開発者自身
25 件 299 件①
から自社製品の脆弱性、対策方法について連絡を受けたもの② 海外 CSIRT 等と連携して公表したもの
18 件 374 件
計43 件 673 件

17

CSIRT（Computer Security Incident Response Team）は、コンピュータセキュリティに関するインシデント（事故）への対応や調整、サポートをするチームのことです。

3

（1）国内の発見者および製品開発者から届出があり公表した脆弱性
届出受付開始から 2008 年 9 月末までの届出について、脆弱性関連情報の届出（表 1-1 の①）を受理してから製品開発者が対応状況を公表するまでに要した日数を図 1-7 に示します。届出受付開始から各四半期末までの 45 日以内に公表される件数が 32%であり、公表するまでに要した日数が増加する傾向にあります。製品開発者は脆弱性への早急な対応をお願いします。
45 日以内の公表件数の割合
2008/1Q まで

2008/2Q まで

2008/3Q まで

33%

32%

32%

32% (45日以内の公表)

全体
18件 22件 25件（299件)

30件

21～30日～10日
31～45日11～20日

0%

10%

20%

30%

88件

64件

19件

46～100日
101～200日

40%

50%

60%

70%

33件

201～300日

80%

90%

301～日

100%

図1-7. ソフトウェア製品の脆弱性公表日数
表 1-2 に、国内の発見者、製品開発者から届出を受け、今四半期に公表した脆弱性を示します。
オープンソースソフトウェアに関して開発者、開発コミュニティに通知し公表したものが 8 件（表1-2 の*1）、複数の製品開発者のソフトウェア製品に影響がある脆弱性が 4 件（表 1-2 の*2）、組込
みソフトウェア製品の脆弱性が 3 件（表 1-2 の*3）ありました。
表 1-2.2008 年第 3 四半期に JVN で公表した脆弱性
項番脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値

脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.0～6.9
Wiki 構築ソフト「FreeStyleWiki」には、クロスサイト・スクリ
プティングの問題がありました。このため、第三者によりウ 2008 年
ェブページにスクリプトを埋め込まれる可能性がありまし
7月3日
た。

4.3

「Redmine」におけるク プロジェクト管理ソフト「Redmine」には、ウェブページを出2008 年
2 ロスサイト・スクリプテ 力する際のエスケープ処理に漏れがありました。このた(*1) ィングの脆弱性
め、ウェブページにスクリプトを埋め込まれる可能性があり 7 月 7 日
ました。

4.0

3

「WebLogic Server」お アプリケーションサーバ「WebLogic Server」および「WebLogic Express」に付属するプラグインには、ディレ
よび「WebLogic Ex2008 年
press」に付属するプラ クトリ・トラバーサルの脆弱性がありました。このため、遠7 月 18
グインにおけるディレ 隔の第三者により WebLogic Server および WebLogic
日
クトリ・トラバーサルの Express が設置されているサーバ内のファイルを認証なしで閲覧される可能性がありました。
脆弱性

5.0

4

LunarNight Laboratory 製「WebProxy」
におけるクロスサイト・
スクリプティングの脆
弱性

プロキシサーバ構築ソフト「WebProxy」には、ウェブペー
ジを出力する際のエスケープ処理に漏れがありました。こ 2008 年のため、第三者によりウェブページにスクリプトを埋め込ま 7 月 18日
れる可能性がありました。

4.3

複数のセンチュリー・システムズ株式会社
5
製ルータにおけるクロ(*3)
スサイト・リクエスト・フォージェリの脆弱性

センチュリー・システムズが提供する複数のルータ製品のウェブ設定画面には、クロスサイト・リクエスト・フォージェリ 2008 年の脆弱性がありました。このため、ウェブ設定画面にログ 7 月 23
インした状態で悪意あるページを読み込んだ場合、パスワ 日ードなどの設定が変更される可能性がありました。

「FreeStyleWiki」にお1 けるクロスサイト・スク(*1) リプティングの脆弱性

4

4.0

項番

脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値

6

K's CGI 製「アクセス ホームページアクセス状況解析ソフト「アクセスログ解析
ログ解析(jcode.pl 版)」 (jcode.pl 版)」には、ウェブページを出力する際のエスケー 2008 年
におけるクロスサイト・ プ処理に漏れがありました。このため、第三者によりウェブ 7 月 23日
スクリプティングの脆 ページにスクリプトを埋め込まれる可能性がありました。
弱性

5.0

7

K's CGI 製「アクセスログ解析(Jcode.pm版)」におけるクロスサ
イト・スクリプティングの脆弱性

ホームページアクセス状況解析ソフト「アクセスログ解析(jcode.pm 版)」には、ウェブページを出力する際のエスケ 2008 年
ープ処理に漏れがありました。このため、第三者によりウ 7 月 23ェブページにスクリプトを埋め込まれる可能性がありまし
日
た。

5.0

「Geeklog Forum
コンテンツ管理システムである Geeklog の掲示板プラグ
Plugin」におけるクロス イン「Geeklog Forum Plugin」には、、ウェブページを出力 2008 年
8
サイト・スクリプティン する際のエスケープ処理に漏れがありました。このため、 7 月 25
(*1)
グの脆弱性
第三者によりウェブページにスクリプトを埋め込まれる可 日能性がありました。

4.3

複数のパナソニック コ 複数のパナソニック コミュニケーションズ株式会社製「ネットワークカメラ」には、クロスサイト・スクリプティングの問
ミュニケーションズ株
2008 年
題がありました。このため、第三者によりウェブページにス
式会社製「ネットワーク
9
7 月 31(*3) カメラ」におけるクロス クリプトを埋め込まれる可能性がありました。
日
サイト・スクリプティン
グの脆弱性

4.3

ウイルス対策ソフト「ウイルスセキュリティ」および「ウイル「ウイルスセキュリテ
ィ」および「ウイルスセ スセキュリティ ZERO」には、サービス運用妨害 (DoS) の 2008 年
キュリティ ZERO」にお 脆弱性がありました。細工された圧縮ファイルをスキャンし 8 月 12
けるサービス運用妨害 た場合、以降のファイルのスキャンが行われなくなる可能 日
性がありました。
(DoS) の脆弱性

4.3

「LacoodaST」におけ11るセッション固定の脆(*2)
弱性

グループウェア「LacoodaST」には、セッション ID を正し 2008 年
く処理できない問題がありました。このため、第三者になり 8 月 21
すまされてしまう可能性がありました。
日

5.8「La!cooda WIZ」およ12
び「LacoodaST」にお(*1)
けるクロスサイト・スク(*2)
リプティングの脆弱性

グループウェア「La!cooda WIZ」および「LacoodaST」に2008 年は、ウェブページを出力する際のエスケープ処理に漏れが
8 月 21
ありました。このため、ウェブページにスクリプトを埋め込日まれる可能性がありました。

4.3「La!cooda WIZ」およ13 び「LacoodaST」にお(*1) いて任意の PHP ス(*2) クリプトの実行が可能な脆弱性

グループウェア「La!cooda WIZ」および「LacoodaST」には、任意の PHP スクリプトファイルのアップロードが可能 2008 年
な脆弱性がありました。このため当該製品が設置されたサ 8 月 21
ーバで任意の PHP スクリプトを実行される可能性があり 日
ました。

6.5

14

アクアガーデンソフト製 MySQL データ閲覧ソフト「mysql-lists」には、ウェブペー
2008 年「mysql-lists」における ジを出力する際のエスケープ処理に漏れがありました。こ8 月 26
クロスサイト・スクリプ のため、第三者によりウェブページにスクリプトを埋め込ま日
ティングの脆弱性
れる可能性がありました。

4.3

15

株式会社ディーアイシ
ー製「shop_v50」および「shop_v52」におけるクロスサイト・スクリ
プティングの脆弱性

10

ショッピングカートソフト「shop_v50」および「shop_v52」には、ウェブページを出力する際のエスケープ処理に漏れが2008 年ありました。このため、第三者によりウェブページにスクリ
9月3日
プトを埋め込まれる可能性がありました。

5

4.3

セキュリティ上の問題点

JVN

CVSS

項番

脆弱性

16

ハイ ノルマ (HighNorm) 製「Sound
Master 2nd」におけるクロスサイト・スクリプ
ティングの脆弱性

音楽データ配布ソフト「Sound Master 2nd」には、ウェブページを出力する際のエスケープ処理に漏れがありました。
2008 年
このため、第三者によりウェブページにスクリプトを埋め込
9月9日
まれる可能性がありました。

「Movable Type」にお17 けるクロスサイト・スク(*1) リプティングの脆弱性

ウェブログ作成管理システム「Movable Type」には、クロスサイト・スクリプティングの問題がありました。このため、 2008 年
第三者によりウェブページにスクリプトを埋め込まれる可 9 月 9 日
能性がありました。

4.3

18「簡単 WEB サーバー」 Windows 用ウェブサーバ「簡単 WEB サーバー」には、デ2008 年におけるディレクトリ・ト ィレクトリ・トラバーサルの脆弱性がありました。このため、
9 月 17
ラバーサルの脆弱性 遠隔の第三者により簡単 WEB サーバーが設置されてい日
るサーバ内のファイルを閲覧される可能性がありました。

5.0

19

「簡単 WEB サーバー」 Windows 用ウェブサーバ「簡単 WEB サーバー」には、ウ
2008 年におけるクロスサイト・ ェブページを出力する際のエスケープ処理に漏れがありま
9 月 17
スクリプティングの脆 した。このため、第三者によりウェブページにスクリプトを日
弱性埋め込まれる可能性がありました。

4.3

MySQL 操作・管理ソフト「phpMyAdmin」には、クロスサ
2008 年
イト・スクリプティングの問題がありました。このため、第三9 月 26
者によりウェブページにスクリプトを埋め込まれる可能性
日がありました。

4.3「phpMyAdmin」にお20 けるクロスサイト・スク(*1) リプティングの脆弱性

公表日 基本値

4.3

脆弱性の深刻度=レベル I（注意）、CVSS 基本値=0.0～3.9
iPod touch およびiPhone に搭載されて21いる「Safari」において(*3)
証明書が不正に受け入れられる脆弱性

iPod touch および iPhone に搭載されている「Safari」には、サーバ証明書が不正に受け入れられる脆弱性があり 2008 年
ました。このため、SSL 通信の盗聴などが行なわれる可 7 月 14
能性がありました。
日「La!cooda WIZ」およ22 び「LacoodaST」にお(*1) けるクロスサイト・リク(*2) エスト・フォージェリの脆弱性

グループウェア「La!cooda WIZ」および「LacoodaST」には、クロスサイト・リクエスト・フォージェリの脆弱性があり 2008 年
ました。このため、当該製品にログインした状態で悪意あ 8 月 21
るページを読み込んだ場合、パスワードなどの設定を変更 日される可能性がありました。

2.6「Blogn(ぶろぐん)」におけるクロスサイト・リクエスト・フォージェリ
の脆弱性

ブログ作成ソフト「Blogn(ぶろぐん)」には、クロスサイト・リクエスト・フォージェリの脆弱性がありました。このため、当 2008 年
該製品にログインした状態で悪意あるページを読み込ん 8 月 29
だ場合、意図せず Blogn(ぶろぐん) のコンテンツが編集 日される可能性がありました。

2.6

24

「Blogn(ぶろぐん)」におけるクロスサイト・ス
クリプティングの脆弱性

ブログ作成ソフト「Blogn(ぶろぐん)」には、ウェブページを2008 年
出力する際のエスケープ処理に漏れがありました。このた
8 月 29め、第三者によりウェブページにスクリプトを埋め込まれる
日可能性がありました。

2.6

25

複数の Tor World 製
CGI スクリプトにおいて任意のスクリプトが実行される脆弱性

掲示板などの複数の Tor World 製 CGI スクリプトに2008 年は、ウェブページを出力する際のエスケープ処理に漏れが
9 月 10
ありました。このため、第三者によりウェブページにスクリ日
プトを埋め込まれる可能性がありました。

2.6

23

(*1)：オープンソースソフトウェア製品の脆弱性(*2)：複数開発者・製品に影響がある脆弱性(*3)：組込みソフトウェアの脆弱性

62.6

（2）海外 CSIRT 等と連携して公表した脆弱性
JPCERT/CC が海外 CSIRT 等と連携して公表した脆弱性 18 件には、通常の脆弱性情報 11 件（表1-3）と、対応に緊急を要する Technical Cyber Security Alert（表 1-4）の 7 件とが含まれます。
これらの情報は、通常関連する登録済み製品開発者へ通知したうえ、JVN に掲載しています。
表 1-3.米国 CERT/CC18等と連携した脆弱性関連情報および対応状況
項
番

脆弱性

対応状況

1

複数の DNS 実装にキャッシュポイズニングの脆弱性

2BlackBerry Attachment Service の PDF 生成機能に任意のコードが実注意喚起として掲載
行可能な脆弱性

3

NetApp Data ONTAP における複数の脆弱性

4

Realnetworks RealPlayer の rjbdll.dll にバッファオーバーフローの脆弱注意喚起として掲載
性5

RealNetworks RealPlayer の Shockwave Flash (SWF) ファイルの処
注意喚起として掲載
理にバッファオーバーフローの脆弱性

6

Oracle Weblogic Apache connector プラグインにバッファオーバーフロー
注意喚起として掲載の脆弱性

7

Postfix における権限昇格の脆弱性

8

NetBSD の MLD query パケット処理にサービス運用妨害(DoS)の脆弱
複数製品開発者へ通知
性

9InstallShield および FLEXnet Connect の通信処理の問題によるスクリ
複数製品開発者へ通知
プト実行の脆弱性

10

InstallShield の ActiveX コントロール Update Service Agent にバッフ
注意喚起として掲載
ァオーバーフローの脆弱性

11

ABB PCU400 にバッファオーバーフローの脆弱性

複数製品開発者へ通知

注意喚起として掲載

複数製品開発者へ通知

注意喚起として掲載

表 1-4.米国 US-CERT19と連携した脆弱性関連情報および対応状況
項番

脆弱性

1

Microsoft Office Snapshot Viewer ActiveX コントロールに脆弱性

2

Microsoft 製品における複数の脆弱性に対するアップデート

3

複数の DNS 実装にキャッシュポイズニングの脆弱性

4

Java における複数の脆弱性に対するアップデート

5

Microsoft 製品における複数の脆弱性に対するアップデート

6

Microsoft 製品における複数の脆弱性に対するアップデート

7

Apple 製品における複数の脆弱性に対するアップデート

18

CERT/Coordination Center。1988 年のウイルス感染事件を契機に米国カーネギーメロン大学に設置された CSIRT。
19
United States Computer Emergency Readiness Team。米国の政府系 CSIRT。

7

2. ウェブサイトの脆弱性の処理状況の詳細
2.1 ウェブサイトの脆弱性の処理状況
ウェブサイトの脆弱性関連情報の届出について、処理状況を図 2-1 に示します。
図 2-1 に示すように、ウェブサイトの脆弱性について、今四半期中に処理を終了したものは 161
件（累計 1,386 件）でした。このうち、「修正完了」したものは 155 件（累計 1133 件）、ウェ
ブサイト運営者により「脆弱性ではない」と判断されたものは 5 件（累計 162 件）でした。なお、
メールでウェブサイト運営者と連絡が取れない場合は、電話や郵送手段で連絡を試みたり、レンタルサーバ会社と連絡を試みたりしていますが、それでも、ウェブサイト運営者から回答がなく「取扱い不可能」なものは 0 件(累計 7 件)です。
「不受理」としたものは 1 件（累計 84 件）でした。
取扱いを終了した累計 1,368 件のうち、「連絡不可能」「不受理」を除く累計 1,277 件（93%）
は、指摘した点が解消されていることが、ウェブサイト運営者により報告されています。
「修正完了」したものうちのウェブサイト運営者からの依頼を受け、当該脆弱性が適切に修正されたかどうかを IPA が確認したものは 25 件（累計 185 件）、ウェブサイト運営者が当該ページを削除することにより対応したものは 11 件（累計 86 件）、ウェブサイト運営者が運用により被害を回避しているものは 0 件（累計 19 件）でした。
取扱い終了: 845件
2007年
9月末

111 72 198655(括弧内の数字は、今四半期に「修正完了」「脆弱性ではない」と判断されたもの等の件数)

合計：1,043件

7

962件
2007年
12月末

131 776 161 合計：1,123件

748
1,040件

2008年
3月末

140 778815

合計：1,367件

327

1,225件
2008年
6月末

157 783

9781,386件(161件)

2008年
9月末

内容確認済

修正完了

185(25)350

合計：1,575件

連絡不可能内該当ページを削除

1133 (155) 86 (11)

内運用で
回避

19(0)

取扱い中

162 784(5)

合計：
2,084件698(0) (1)

脆弱性ではない 不受理

0

500

1000

1500

2000

修正完了
確認済
当該ページを削除
運用で回避
脆弱性ではない
連絡不可能
不受理： ウェブサイト運営者により脆弱性が修正されたもの：
修正完了のうち、IPA が修正を確認したもの：
修正完了のうち、当該ページを削除して対応したもの：
修正完了のうち、運用により被害を回避しているもの： ウェブサイト運営者により脆弱性はないと判断されたもの： ウェブサイト運営者からの回答がなく、取扱いができないもの： 告示で定める届出の対象に該当しないもの

取扱い中： ウェブサイト運営者が調査、対応中のもの

図 2-1.ウェブサイト各時点における脆弱性関連情報の届出の処理状況

8

2.2 ウェブサイトの脆弱性の種類と脅威届出受付開始から今四半期末までに IPA に届出られたウェブサイトの脆弱性関連情報 2,084 件のうち、不受理のものを除いた 2,000 件について、種類別内訳を図 2-2 に、種類別の届出件数の推移を図 2-3 に、脅威別内訳を図 2-4 に示します20。
8%

クロスサイト・スクリプティング

1%
1%
1%
1%
1%
3%

SQLインジェクション
DNS情報の設定不備
ファイルの誤った公開

(2%)

5%
(6%)

ディレクトリ・トラバーサル

42%
(50%)

セッション管理の不備
HTTPレスポンス分割
パス名パラメータの未チェック

16%
(2%)

メールの第三者中継
認証に関する不備
その他(2,000件の内訳、グラフの括弧内は前四半期の数字)

21% (23%)

図2-2.ウェブサイトの脆弱性 種類別内訳 (届出受付開始から2008年9月末まで)

500
その他
認証に関する不備
メールの第三者中継

400

パス名パラメータの未チェック
HTTPレスポンス分割
セッション管理の不備
ディレクトリ・トラバーサル

300

ファイルの誤った公開
DNS情報の設定不備
SQLインジェクション

200

クロスサイト・スクリプティング

100

0

2004

3Q

4Q

2005

1Q

2Q

3Q

4Q

2006

1Q

2Q

3Q

4Q

2007

1Q

2Q

3Q

4Q

2008

1Q

2Q

3Q

図2-3.ウェブサイトの脆弱性 種類別件数の推移 (届出受付開始から2008年9月末まで)

20

それぞれの脆弱性の詳しい説明については付表 2 を参照してください。

9

3%

1%
1%

1%

本物サイト上への偽情報の表示

2%

データの改ざん、消去

6%
32%
(37%)

8%
(11%)

ドメイン情報の挿入
Cookie情報の漏洩
個人情報の漏洩
サーバ内ファイルの漏洩
なりすまし

10%
(12%)

ウェブキャッシュ情報のすり替え
踏み台

16%
(2%)

20%
(22%)

メールシステムの不正利用
その他(2,000件の内訳、グラフの括弧内は前四半期の数字)

図2-4.ウェブサイトの脆弱性 脅威別内訳 (届出受付開始から2008年9月末まで)
今四半期は「DNS 情報の設定不備」が多く届出られましたが（図 2-3）、脆弱性の種類は「クロスサイト・スクリプティング」「SQL インジェクション」が全体の 63%をしめます（図 2-2）。
また「クロスサイト・スクリプティング」や「SQL インジェクション」の脅威である、「本物サイト上への偽情報の表示」「データの改ざん、消去」「Cookie 情報の漏洩」が 62%をしめています（図 2-4）。
ウェブサイト運営者は、引き続き脆弱性を作りこまないように注意してください。

2.3 ウェブサイトの脆弱性の修正状況
届出受付開始から 2008 年 9 月末までの届出の中で、実際にウェブアプリケーションを修正したものについて、ウェブサイト運営者に脆弱性の詳細情報を通知してから修正されるまでに要した日数およびその傾向を、脆弱性の種類別に図 2-5 および図 2-6 に示します。全体の 56%の届出が 30 日以内、全体の 80%の届出が 90 日以内に修正されています。
90 日以内の修正件数の割合
2007/4Q まで 2008/1Q まで
78%
77%

2008/2Q まで
81%

2008/3Q まで
80%

80%(90日以内の修正)
160
140

クロスサイト・スクリプティング(598件)
SQLインジェクション(165件)
ディレクトリ・トラバーサル(33件)

120
100
80

ファイルの誤った公開(30件)
DNS情報の設定不備(29件)
HTTPレスポンス分割(25件)
その他(110件)

60
40
20
0
当日

1日

2日

3日

4日
6日
11日
21日
31日
51日
91日 201日 301日～～5日 ～10日 ～20日 ～30日 ～50日 ～90日 ～200日～300日

図2-5.ウェブサイトの修正に要した日数
10クロスサイト・スクリプティング(598件)

SQLインジェクション(165件)

ディレクトリ・トラバーサル(33件)

ファイルの誤った公開(30件)

DNS情報の設定不備(29件)

HTTPレスポンス分割(25件)

その他(110件)

0%～10日

11日～20日

21日～30日

20%
31日～50日

40%

60%

80%

51日～90日

91日～200日

201日～300日

100%
301日～

図2-6.ウェブサイトの修正に要した日数の傾向

3. 関係者への要望
脆弱性の修正を促進していくための、各関係者への要望は以下のとおりです。

(1)ウェブサイト運営者
多くのウェブサイトのソフトウェアに脆弱性が発見されています。自身のウェブサイトでどのようなソフトウェアを利用しているかを把握し、脆弱性対策を実施することが必要です。
なお、脆弱性の理解にあたっては、以下のコンテンツが利用できます。
「知っていますか？脆弱性（ぜいじゃくせい）」：
http://www.ipa.go.jp/security/vuln/vuln_contents/「安全なウェブサイト運営入門」：
http://www.ipa.go.jp/security/vuln/7incidents/(2)製品開発者
JPCERT/CC は、ソフトウェア製品の脆弱性関連情報について、「製品開発者リスト」に基づき、一般公表日の調整等を行います。迅速な調整を進められるよう、「製品開発者リスト」への登録を求めます（URL：http://www.jpcert.or.jp/vh/）。また、製品開発者自身で脆弱性を発見、修正された
場合も、利用者への対策情報の周知のために JVN を活用できます。JPCERT/CC もしくは IPA への連絡を求めます。

(3)一般インターネットユーザ
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がけていただくことが必要です。
脆弱性があるソフトウェアを使い続けることは避けなければなりません。

(4)発見者
脆弱性関連情報の適切な流通のため、届出られた脆弱性関連情報は、脆弱性が修正されるまでの期間は第三者に漏れぬよう、適切に管理されることを要望します。

11

付表 1. ソフトウェア製品 脆弱性の原因分類
脆弱性の原因説明

届出において想定された脅威1

設定情報の漏洩通信の不正中継
ア ク セ ス 制 御 の 不 アクセス制御を行うべき個所において、なりすまし
備
アクセス制御が欠如している
任意のスクリプトの実行
認証情報の漏洩2

アクセス制限の回避
価格等の改ざん
サービス不能
資源の枯渇
ウェブアプリケーションに対し、入力さ 重要情報の漏洩れた情報の内容の解釈や認証情報の取扱 情報の漏洩
ウ ェ ブ ア プ リ ケ ー い、出力時の処理に問題がある。
「クロス セッション・ハイジャック
ションの脆弱性
サイト・スクリプティング」攻撃や「SQL 通信の不正中継
インジェクション」攻撃などに利用され なりすましてしまう
任意のコマンドの実行
任意のスクリプトの実行
任意のファイルへのアクセス
認証情報の漏洩
RFC 等の公開された規格に準拠して、設計、実装した結果、問題が生じるもの。 サービス不能
プロトコル上の不備がある場合、ここに 資源の枯渇
含まれる

3

仕様上の不備4

ウェブブラウザやメールクライアントソ
証 明 書 の 検 証 に 関 フトに証明書を検証する機能が実装され 証明書の確認不能
する不備ていない、または、検証が正しく行われ なりすまし
ずに、偽の証明書を受けいれてしまう

5

アプリケーションの異常終
本来、厳しい制限のあるセキュリティコ
セキュリティコン
了
ンテキストで取り扱うべき処理を、緩いテキストの適用の情報の漏洩
制限のセキュリティコンテキストで処理
不備
任意のコードの実行してしまう
任意のスクリプトの実行

6

想定外の長さの入力が行われた場合に、サービス不能バ ッ フ ァ の チ ェ ッ 長さをチェックせずバッファに入力して任意のコードの実行
クの不備しまう。
「バッファオーバーフロー」攻撃
任意のコマンドの実行に利用されてしまう。

7

処理の際のパラメータとして指定されてアプリケーションの異常終いるディレクトリ名やファイル名、ファ了
イルの内容をチェックしていない。任意
ファイルのパス名、
サービス不能のディレクトリのファイルを指定できて内容のチェックの資源の枯渇
しまい、「ディレクトリ・トラバーサル」
不備
任意のファイルへのアクセ攻撃に利用されてしまう。また、破損しス
たファイルや不正に書き換えられたファ
認証情報の漏洩イルを処理した際に不具合が生じる

12

付表 2 ウェブサイト脆弱性の分類

脆弱性の種類

深刻度

説明

届出において想定された脅威高個人情報の漏洩
一般に公開すべきでないファイルが公開さ サーバ内ファイルの漏れており、自由に閲覧できる状態になって 洩いる
データの改ざん、消去
なりすまし

2

パス名パラメータの未チェック

高ユーザからの入力を処理する際のパラメー
タとして指定されているファイル名を、ユ サーバ内ファイルの漏ーザが変更し、ウェブサーバ上の任意のデ 洩ィレクトリのファイルを指定できてしまう

3

ディレクトリ･トラバーサル

高ウェブサーバ上のディレクトリのアクセス 個人情報の漏洩権を超えて、本来許可されている範囲外の サーバ内ファイルの漏
ディレクトリにアクセスできる洩

4

セッション管理の不備高セッション管理に、推測可能な情報を使用
Cookie 情報の漏洩しているため、他のユーザの情報が容易に
個人情報の漏洩
推測でき、他のユーザになりすまして、サ
なりすましービスを利用することができる

5

SQL インジェクション

高

個人情報の漏洩
入力フォームなどへ SQL コマンド（データサーバ内ファイルの漏
ベースへの命令）を入力し、データベース
洩
内の情報の閲覧、更新、削除などができる
データの改ざん、消去

6

DNS 情報の設定不備

高

DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名の持ち ドメイン情報の挿入
主であるかのようにふるまえてしまう中

外部の第三者により、他のサーバへのアクセスを中継するサーバとして利用され、不踏み台
正アクセスなどの際にアクセス元を隠すた
めの踏み台にされてしまう中

Cookie 情報の漏洩
サーバ内ファイルの漏
ユーザの Cookie 情報を知らないうちに転 洩送させたり、偽の情報を表示させたりする 個人情報の漏洩
ような罠のリンクをユーザにクリックさ データの改ざん、消去
せ、個人情報等を盗むことができる
なりすまし
本物サイト上への偽情報の表示

中ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそかにア
データの改ざん、消去
クセスさせ、登録情報の変更や商品の購入をさせることができる

中

攻撃者がユーザに対し、悪意のある要求をウェブサーバに送信するように仕向けるこ
ウェブキャッシュ情報とで、ウェブサーバからの応答を分割させのすり替えて応答内容をすり替え、ユーザに対して偽のページを表示させることができる

中

ユーザに対し、ソフトウェアをインストー
ルさせたり、ブラウザのセキュリティレベ 利用者のセキュリティ
ルを下げるよう指示することでクライアン レベルの低下
ト PC のセキュリティ設定を低下させる

中

ウェブサーバに設置したリダイレクタが悪踏み台
意あるリンクへの踏み台にされたり、その本物サイト上への偽情
ウェブサイト上で別のサイト上のページを報の表示表示させられてしまう

1

ファイルの誤った公開7

オープンプロキシ

8

クロスサイト･
スクリプティング

9

クロスサイト・リク
エスト・フォージェ
リ

10

HTTP レスポンス分
割

セキュリティ設定の11
不適切な変更リダイレクタの不適
12
切な利用

13

脆弱性の種類

13

14

深刻度

フィルタリングの回避OS コマンド・インジ
ェクション

15 メールの第三者中継

16

HTTPS の 不 適 切 な
利用

17 価格等の改ざん

届出において想定された脅威説明中

ウェブサイトのサービスやブラウザの機能として提供されているフィルタリング機能 利用者のセキュリティが回避される問題。これにより、本来制限 レベルの低下されるはずのウェブページを閲覧してしま なりすましう

中

攻撃者がウェブアプリケーションを介してウェブサーバの OS コマンドを実行できてしまい、サーバ内ファイルの閲覧やシス 任意のコマンドの実行
テム操作、不正なプログラムの実行などを行われてしまう

低利用者が入力した内容を管理者が指定した
メールアドレスに送信する機能で、外部のメールシステムの不正利用者が宛先メールアドレスを自由に指定利用できてしまい、迷惑メール送信の踏み台に
悪用される

低

HTTPS による暗号化をしているが、暗号の選択や設定が十分でなかったり、ウェブ
サイトでのユーザへの説明に間違いがあ なりすましる、または、ウェブサイトの設計上、ユー
ザから証明書が確認できない

低ショッピングサイトにおいて、価格情報等
が利用者側で書き換えられる。書き換えに データの改ざんよる被害は、ウェブサイト側に限定される

・API: Application Program Interface

・RFC

・CGI

: Common Gateway Interface

・SQL: Structured Query Language

・DNS: Domain Name System

・SSI: Server Side Include

・HTTP: Hypertext Transfer Protocol

・SSL: Secure Socket Layer

・HTTPS: Hypertext Transfer Protocol Security

・TCP: Transmission Control Protocol

・URI: Uniform Resource Identifier・URL: Uniform Resource Locator・ISAKMP : Internet Security Association
・MIME

Key Management Protocol: Multipurpose Internet Mail Extension: Request For Comments

付図１．「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み）
脆弱性関連情報流通体制

ユーザ
ユーザー
脆弱性関連
情報届出

ソフトウェア
製品の脆弱性

脆弱性関連
情報通知

脆弱性関連情報の報告された脆弱性
内容確認・検証
関連情報の内容確認

発見者
W e b サイトの脆弱性

受付・分析機関
受付機関
報告された

調整機関

ソフト
開発者等

対応状況等
対応状況
対策方法等
公表公表

システム導入
支援者等

政府
企業
個人

セキュリティ対策推進協議会等

分析機関【期待効果】

脆弱性対策情報ポータル

公表日の決定、
海外の調整機関との連携等

分析支援機関脆弱性関連
情報届出

対策情報ポータル

対応状況の集約、
公表日の調整等

産総研など報告された脆弱性
脆弱性関連情報通知
脆弱性関連情報通知
関連情報の検証W e b サイト運営者

Webサイト運営者
検証、対策実施
検証、対策実施

個人情報の漏えい時は事実関係を公表
個人情報漏洩時は事実関係を公表①製品開発者及びウェブサイト運営者による脆弱性対策を促進②不用意な脆弱性関連情報の公表や脆弱性の放置を抑制③個人情報等重要情報の流出や重要システムの停止を予防※IPA：独立行政法人 情報処理推進機構、JPCERT/CC：有限責任中間法人 JPCERT コーディネーションセンター、産総研：独立行政法人 産業技術総合研究所

14