プレスリリース
200７年 1 月 17 日
独立行政法人 情報処理推進機構
有限責任中間法人 JPCERT コーディネーションセンター

ソフトウェア等の脆弱性関連情報に関する届出状況[2006 年第 4 四半期（10 月〜12 月）]
独立行政法人 情報処理推進機構（略称：IPA、理事長：藤原 武平太）および有限責任中間法人
JPCERT コーディネーションセンター（略称：JPCERT/CC、代表理事：歌代 和正）は、今般、2006 年第4 四半期（10 月〜12 月）の脆弱性関連情報の届出状況をとりまとめました。
1．今四半期の届出件数(1)今四半期のソフトウェア製品の脆弱性関連情報
・届出：122 件（届出受付開始からの累計は 416 件）

・脆弱性公表：25 件（届出受付開始からの累計は 142 件）(2)今四半期のウェブアプリケーション（ウェブサイト）の脆弱性関連情報
・届出：89 件（届出受付開始からの累計は 750 件）・修正完了 ：52 件（届出受付開始からの累計は 403 件）
2．今四半期の特徴
今四半期は、ソフトウェア製品に関するもの 122 件、ウェブサイトに関するもの 89 件、合計 211 件の届出があり、ソフトウェア製品に関する届出件数が過去最高を記録しました。
2004 年 7 月 8 日に脆弱性関連情報の届出受付を開始してから 2 年 6 ヶ月が経過し、ソフトウェア製品に関するもの累計 416 件、ウェブサイトに関するもの累計 750 件、合計 1,166 件の届出があり、今四半期で 1,000 件を突破しました（図 1）。

300

ソフトウェア製品に関する届出件数（件）

ウェブサイトに関する届出件数

250

50
0

1166

届出の累計件数

四
半 200
期
件 150
数
100

1400

122

届
1000 出
の
800 累
計
600 件
数
400

97

89

200

3Q

4Q

955
821
680
573

476 33
19
73
92
3Q
2004年

35

84

13
19
13
67
256 341 102
66
172 71

41
56

72

57

4Q

4Q

1Q

2Q

（件）

1200

37

0
1Q

2Q

3Q

2005年

2006年

図１．脆弱性の届出件数の四半期別推移
また、ソフトウェア製品に関して脆弱性の対策状況を 25 件公表しました。この中には、オープンソー
スソフトウェアに関するものが 15 件、組込みソフトウェアに関するものが 3 件ありました。なお、製品開
発者自身から自社製品に関する脆弱性対策情報について連絡をうけ公表したものが 3 件ありました。
ウェブサイトに関してはウェブサイト運営者により脆弱性が修正されたものが 52 件ありました。このう
ち 9 件は IPA が修正を確認しました。
13．ソフトウェア製品の脆弱性の内訳
今四半期に届出が多かったソフトウェア製品について、届出累計 416 件のうち不受理 67 件を除いた349 件の製品種類別内訳は、ウェブアプリケーションソフトが 40%、ウェブブラウザが 13%、グループ
ウェアが 11%、アプリケーション開発・実行環境が 9%、メールソフトが 4%などとなっています（図 2）。
発見者が届出時に想定した脅威別の内訳の推移は図 3 のようになっており、今四半期の届出 122件のうち不受理 14 件を除いた 108 件の内訳は、任意のスクリプトの実行1が 69 件、なりすましが 8
件、情報の漏えいが 8 件、任意のコードの実行が 4 件などで、任意のスクリプトの実行が特に増加しています（図 3）。

その他(23%)

その他
情報の漏えい任意のコードの実行
なりすまし
任意のスクリプトの実行

120

ウェブ
アプリケーション
ソフト(40%)

件

100
四 80
半
期 60
件
数 40

ウェブブラウザ(13%)
グループウェア(11%)
アプリケーション開発・実行環境(9%)
メールソフト(4%)

19
4
8
8

12
7

20

9

0

7

14
7
9

15
61

47

9

69

17

05/3Q 05/4Q 06/1Q 06/2Q 06/3Q 06/4Q

図 2．ソフトウェア製品の脆弱性の製品種類別内訳 図 3．ソフトウェア製品の脆弱性の脅威別内訳推移
IPA では、届出件数の多い脆弱性を取り上げ、脆弱性の原因そのものをなくす根本的な解決策と、攻撃による影響の低減を期待できる保険的な対策を示した「安全なウェブサイトの作り方 改訂第 2 版」を2006 年 11 月 1 日に公表しました。ウェブサイトのセキュリティ問題の解決の一助となれば幸いです。
「安全なウェブサイトの作り方 改訂第 2 版」
http://www.ipa.go.jp/security/vuln/websecurity.html■ソフトウェア等の脆弱性関連情報に関する届出制度について
経済産業省告示に基づき、2004 年 7 月より開始したものです。IPA は脆弱性関連情報の届出受付、
JPCERT/CC は国内の製品開発者などの関連組織との調整を行っています。
■ 本件に関するお問い合わせ先
独立行政法人 情報処理推進機構 セキュリティセンター
Tel: 03-5978-7527 Fax: 03-5978-7518 E-mail: vuln-inq@ipa.go.jp
有限責任中間法人 JPCERT コーディネーションセンター
Tel: 03-3518-4600 Fax: 03-3518-4602 E-mail: office@jpcert.or.jp■ 報道関係からのお問い合わせ先
独立行政法人 情報処理推進機構 戦略企画部広報グループ 横山／佐々木
Tel: 03-5978-7503 Fax:03-5978-7510 E-mail: pr-inq@ipa.go.jp
有限責任中間法人 JPCERT コーディネーションセンター 経営企画室 広報 江田
Tel:03-3518-4600 Fax:03-3518-4602 E-mail: pr@jpcert.or.jp

1

任意のスクリプトの実行：攻撃者が意図して作成したスクリプトが実行される脅威。スクリプトは、Javascript や
VBScript などで記述され、利用者のウェブブラウザ上で実行される。
2

別紙１

1. 届出状況2006 年 10 月 1 日から 12 月 31 日までの IPA への脆弱性関連情報の届出件数は、ソフトウェア製品に関するもの 122 件、ウェブアプリケーション（ウェブサイト）に関するもの 89 件、合計 211 件であり、届出受付開始（2004 年 7 月 8 日）からの累計は、ソフトウェア製品に関するもの 416 件、ウェブアプリケーション（ウェブサイ
ト）に関するもの 750 件、合計 1,166 件です。四半期毎の届出状況を図 1-1 に示します。1 就業日あたりの届出件数は 1.92 件であり、前四半期より増加しています。
1 就業日あたりの届出件数（届出開始から各四半期末時点）
2005/3Q

2005/4Q

2006/1Q

2006/2Q

2006/3Q

2006/4Q

1.58

1.59

1.61

1.70

1.75

1.92

140
120
四 100
半 80
期
件 60
数 40

800

750

661

700
600

564

507

500 累
計
400
件
300 数
200

435
379

416
257
102

20

173

138

97
33

35

56

41

294
89

122
84

72

57

37

97

100
0

0
2005/3Q

2005/4Q

2006/1Q

2006/2Q

ソフトウエア製品に関する届出
ソフトウエア製品に関する届出（累計）2006/3Q

2006/4Q

ウェブサイトに関する届出
ウェブサイトに関する届出（累計）

図 1-1 脆弱性関連情報の四半期別届出件数の推移（1） ソフトウェア製品の脆弱性
ソフトウェア製品の脆弱性関連情報の届出について、処理状況を図 1-2 に示します。
図 1-2 に示すとおり、今四半期中に公表した脆弱性は、25 件（累計 142 件）です。また、「不受理」としたものは 14 件（累計 67 件）です。
（括弧内の数字は、今四半期に「公表」、取扱い終了：106件「脆弱性でない」と判断されたもの等の件数）
2006年
6月末

89

17

109

合計257件

42

136件
2006年
9月末

117

19

105

53

合計294件

167件(31件)

合計416件

公表済み

2006年
12月末

取扱い中
182

25
(6)

142 (25)

不受理
67(14)

脆弱性ではない
0

50

100

150

200

250

300

350

公表済み
脆弱性ではない： JVN で脆弱性への対応状況を公表したもの： 製品開発者により脆弱性ではないと判断されたもの

取扱い中
不受理

： 製品開発者が調査、対応中のもの： 告示で定める届出の対象に該当しないもの

400

図 1-2 ソフトウェア製品 各時点における脆弱性関連情報の届出の処理状況

3450

（2） ウェブサイトの脆弱性
ウェブサイトの脆弱性関連情報の届出について、処理状況を図 1-3 に示します。
図 1-3 に示すとおり、ウェブサイトの脆弱性については、今四半期中に処理を終了したものは 65 件（累計517 件）でした。このうち、「修正完了」したものは 52 件（累計 403 件）、ウェブサイト運営者により「脆弱性はない」と判断されたものは 8 件（累計 71 件）ありました。「修正完了」したものうちの 9 件（累計 91 件）はウェブサ
イト運営者からの依頼を受け、当該脆弱性が適切に修正されたかどうかを IPA が確認しました。
このほか、「不受理」としたものが 4 件（累計 46 件）ありました。「連絡不可能」の届出のうち、16 件は修正されています。その中には、ウェブサイト運営者からの回答がないためレンタルサーバ会社と連絡を取り修正が確認できたサイト、脆弱箇所の記述が削除されていることが確認できたサイトがあります。また、13 件は、当該ページ自体が削除されており、脆弱性がなくなっていることを確認しています。メールや電話でウェブサイト運営者と連絡が取れない場合は、郵送手段などでの連絡を試みています。
（括弧内の数字は、今四半期に「修正完了」、「脆弱性ではない」と判断されたもの等の件数）

取扱い終了：388件
2006年
6月末

297

53

14 24

99

63

14 24

39

38

合計564件

452件
2006年
9月末

351

128

39

修正完了

内確認済

91(9)
100

200

71
(8)

403 (52)

脆弱性ではない0

合計661件

修正確認 削除 未修正/
済み 1 6
1 3 不明 13

517件(65件)
2006年
12月末

42

300

16

27

(2) (3)

取扱い中
145

42
(3)

46
(4)

合計
750件

運用で回避 当該ページを削除 連絡不可能 不受理
400

500

600

修正完了
脆弱性ではない
運用で回避
当該ページを削除
確認済： ウェブサイト運営者により脆弱性が修正されたもの： ウェブサイト運営者により脆弱性はないと判断されたもの： 修正はせず、運用により被害を回避しているもの： 修正ではなく当該ページを削除することで対応されたもの： 修正完了のうち、IPA が修正を確認したもの

取扱い中
連絡不可能
不受理

： ウェブサイト運営者が調査、対応中のもの： ウェブサイト運営者からの回答がなく、取扱いができないもの： 告示で定める届出の対象に該当しないもの

図 1-3 ウェブサイト 各時点における脆弱性関連情報の届出の処理状況

4

700

800

別紙 2

2. ソフトウェア製品の脆弱性関連情報の取扱いおよび調整
2.1

ソフトウェア製品の脆弱性情報

図 2-1 に、2005/Q2 から今四半期までに IPA に届出られたソフトウェア製品の内訳を示します。今四半期はオープンソースソフトウェア（OSS）以外のソフトウェア製品の届出が特に増加しており 86 件ありました。これまでの四半期に比べ 3〜5 倍の件数です。また、今四半期も OSS に関する届出が 36 件ありました。
140
120
100
80
40
20
0

86

27

60

17

18
15

25
10

57

15

17
20

36

2005/Q3

2005/Q4

2006/Q1

2006/Q2

2006/Q3

2006/Q4

2

2005/Q2

26

オープンソースソフトウェア

それ以外

図 2-1 ソフトウェア製品の脆弱性 内訳（届出受付開始から 2006 年 12 月末まで）
届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報 416 件のうち、不受理のものを除いた 349 件の製品種類別の内訳を図 2-2 に、原因別の内訳を図 2-3 に、脅威別の内訳を図 2-4 に示します。

1%
1%
1%
2%
2%
2%
3%
3%
4%(5%)

1%
1%
1%

1%

1%

4%

40%(41%)

9%(6%)

11%(8%)※

13%(12%)

その他には、データベース、ワープロソフト等があります

ウェブアプリケーションソフト
ウェブブラウザ
グループウェア
アプリケーション開発・実行環境
メールソフトシステム管理ソフト
アンチウイルスソフト
ウェブサーバ
検索システムOS
ルータ
ファイル交換システム
プロキシ
IP 電話
携帯機器
ネーム・ディレクトリサーバ
情報家電
周辺機器
その他

（349 件の内訳、グラフの括弧内は前四半期の数字）

図 2-2 ソフトウェア製品の脆弱性 製品種類別内訳（届出受付開始から 2006 年 12 月末まで）
図 2-2 に示すように、IPA に届出があった脆弱性には、「ウェブアプリケーションソフト」に関するものが多くあります。また、パソコンなどのコンピュータ上で動くソフトウェアだけでなく、携帯機器や情報家電、パソコンの周辺機器などに関するものが含まれています。

5

6%

ウェブアプリケーションの脆弱性

12%

ファイルのパス名、内容のチェックの不備
セキュリティコンテキストの適用の不備

2%

バッファのチェックの不備

3%
3%(3%)

アクセス制御の不備

4%(3%)

仕様上の不備62%(60%)4%(4%)

証明書の検証に関する不備
その他実装上の不備

4%(6%)

その他ウェブに関連する不備（349 件の内訳、グラフの括弧内は前四半期の数字）

図 2-3 ソフトウェア製品の脆弱性 原因別内訳（届出受付開始から 2006 年 12 月末まで）2
2%
2%

1%

1%

1%

2%

2%
3%
4%
4%
48%(41%)

4%
5%(3%)
6%(7%)
8%(8%)
8%(10%)

任意のスクリプトの実行
情報の漏洩
なりすまし
サービス不能任意のコードの実行
認証情報の漏洩
任意のコマンドの実行
通信の不正中継
任意のファイルへのアクセス
アプリケーションの異常終了
セッション・ハイジャック
資源の枯渇
URL等の表示の偽装証明書の確認不能
アクセス制限の回避
その他（349 件の内訳、グラフの括弧内は前四半期の数字）

図 2-4 ソフトウェア製品の脆弱性 脅威別内訳（届出受付開始から 2006 年 12 月末まで）
図 2-3 に示すように、脆弱性の原因は「ウェブアプリケーションの脆弱性」が最多であり、図 2-4 に示すように、脅威についても「任意のスクリプト実行」が最多となっています。これは、「ウェブアプリケーションソフト」以外のソフトウェア製品であっても、ウェブブラウザから管理、使用するものが多くあり、そこに脆弱性が存在するため
です。

2.2

ソフトウェア製品の脆弱性情報の調整および公表状況

JPCERT/CC は、表 2-1 に示す 2 種類の脆弱性関連情報について、日本国内の製品開発者等の関係者、
および海外 CSIRT3の協力のもと、海外の製品開発者との調整を行っています。これらの脆弱性関連情報に対する製品開発者の対応状況は、IPA と JPCERT/CC が共同運営している脆弱性対策情報ポータルサイト JP
Vendor status Notes（JVN）において公表しています（URL： http://jvn.jp/）。

2

それぞれの脆弱性の詳しい説明については付表を参照してください。
CSIRT（Computer Security Incident Response Team）は、コンピュータセキュリティに関するインシデント（事故）への対応や調整、サポートをするチームのことです。
36

表 2-1 脆弱性関連情報の提供元別 脆弱性公表件数
情報提供元

今期

累計

①

国内の発見者から IPA に届出があったもの、および、製品開発者自身から自社製品の脆弱性、対策方法について連絡を受けたもの

25

142

②

海外 CSIRT から連絡を受けたもの

12

141

計

37

283

（1） 国内の発見者および製品開発者から届出があり公表した脆弱性
届出受付開始から 2006 年 12 月末までの届出について、脆弱性関連情報の届出（表 2-1 の①）を受理してから製品開発者が対応状況を公表するまでに要した日数を図 2-5 に示します。全体の 41％の届出が 45 日以内に公表されています。
45 日以内の公表件数の割合
2006/4Q まで
2006/3Q まで
38%
41%

全体
（142件）

11件

0%

18件

10%

14件

20%

15件

30%

〜 10日
46日 〜 100日

45件

40%

50%

11日 〜 20日
101日 〜 200日

60%

26件

70%

21日 〜 30日
201日 〜 300日

80%

8件 5件

90%

100%

31日 〜 45日
301日 〜

図 2-5 ソフトウェア製品の脆弱性 公表日数
表 2-2 に、国内の発見者、製品開発者から届出を受け、今四半期に公表した脆弱性を示します。
今四半期は、「『一太郎』におけるバッファオーバーフローの脆弱性」（表 2-2 項番 3）や「『花子』におけるバッ
ファオーバーフローの脆弱性」（表 2-2 項番 19）を公表しました。両製品共に国内の利用者が多く、ウイルスやワーム、ボットといった攻撃手法で利用されやすい脆弱性に関するものです。
また、「『TeraStation HD-HTGL シリーズ』におけるクロスサイト・リクエスト・フォージェリの脆弱性」（表 2-2 項
番 1）のように、管理者の利用する画面において脆弱性が残っている事例が引き続き見受けられます。利用者への公開部分に対する脆弱性対策はしっかり行なっている製品でも、管理画面アクセスへの配慮が不十分なことがあります。公開部分同様にセキュリティ対策を施してください。
今四半期は、複数の製品開発者のソフトウェア製品に影響がある脆弱性の公表は無く、特定製品に関する脆弱性を 25 件公表しました。なお、オープンソースソフトウェア製品に関するものが 15 件（表 2-2 の(*1)）、組込みソフトウェアに関するものが 3 件（表 2-2 の(*2)）、製品開発者自身から自社製品に関する脆弱性対策情報について連絡をうけ公表したものが 3 件（表 2-2 の(*3)）ありました。
表 2-2 2006 年第 4 四半期に JVN で公表した脆弱性
項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN 公表日

特定製品の脆弱性 (*4)

1(*2)

「TeraStation
HD-HTGL シリーズ」
におけるクロスサイト・
リクエスト・フォージェリ
の脆弱性

バ ッ フ ァ ロ ー 製 LAN 接 続 ハ ー ド デ ィ ス ク「TeraStation HD-HTGL シリーズ」Web 設定画面
において、脆弱性が確認されました。Web 設定画
面にログインした状態で悪意あるページよりリンクをたどった場合、ハードディスク上のデータが削除されたり、設定が変更される可能性があります。

7

2006 年
10 月 2 日

項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN 公表日「Kmail CGI」における認証回避の脆弱性

携帯電話ウェブブラウザから、メールサーバのメー
ルを読み書きできるようにするソフト「Kmail CGI」に は、 認証 を 回避 され る脆弱 性が 存在し ま す。
「Kmail CGI」の利用者になりすまされ、メールを読まれたり、削除されたりする可能性があります。また、遠隔の第三者により、管理者権限で「Kmail
CGI」の機能を悪用される可能性があります。

2006 年
10 月 12日

3「一太郎」におけるバッ
ファオーバーフローの脆弱性

日本語ワープロソフト「一太郎」には、バッファオー
バーフローの脆弱性が存在します。このため任意のコードを実行される可能性があります。

2006 年
10 月 18
日

4
(*2)
(*3)

「NEC MultiWriter
1700C/7500C 」 の
FTP サ ー バ に お け る
脆弱性

NEC のプリンタ「NEC MultiWriter
1700C/7500C」には、内蔵の FTP サーバを、他の FTP サーバへの踏台として利用可能な問題があります。

2006 年
10 月 20
日

5
(*2)
(*3)

「NEC MultiWriter
1700C」の Web サー
バに認証回避の脆弱性

NEC のプリンタ「NEC MultiWriter1700C」には、内蔵の Web サーバにおいて、認証されていない
ユーザによってシステムの設定が変更可能な問題があります。

2006 年
10 月 20日「 desknet's 」 に お け る
バッファオーバーフロ
ーの脆弱性

グループウェア「desknet's」には、バッファオーバー
フローの脆弱性が存在します。このため任意のコードを実行されたり、サービス不能状態になる可能性があります。

2006 年
10 月 24日「ハイパー日記システム」におけるクロスサイ
ト・スクリプティングの脆弱性

ウェブ日記の作成支援ソフト「ハイパー日記システ
ム」の日記編集機能（webif）には、ウェブページを出力する際のエスケープ処理に漏れがあります。このため、第三者によりウェブページにスクリプトを埋め込まれる可能性があります。

2006 年
11 月 6 日「 MyODBC 日 本 語 変換機能版」におけるサー ビ ス 運 用 妨 害(DoS) の脆弱性

MySQL データベースへの接続を中継する ODBC
ドライバ「MyODBC 日本語変換機能版」には、特定の文字列を含むレスポンスを処理する際にサー
バリソースを過剰に消費する問題があります。このため、サーバの処理速度が極端に低下し、サービス不能状態になる可能性があります。

2006 年
11 月 6 日「Kahua」におけるログ
インセッション共有の脆
弱性

アプリケーション開発・実行環境である「Kahua」には、異なるアプリケーション間でログインセッションが共有される問題があります。 このため第三者に、本来利用できる範囲を超えてアプリケーションを利用される可能性があります。

2006 年
11 月 10日

10(*1)

「Nucleus」 におけるクロスサイト・スクリプティングの脆弱性コンテンツ管理システム「Nucleus」には、ウェブページを出力する際のエスケープ処理に漏れがあります。このため、第三者によりウェブページにスクリプトを埋め込まれる可能性があります。

2006 年
11 月 14日

11(*1)

「 EC-CUBE」におけるクロスサイト・スクリプテ
ィングの脆弱性

ショッピングサイト構築ソフト「EC-CUBE」には、ウェブページを出力する際のエスケープ処理に漏れがあります。このため、第三者によりウェブページ
にスクリプトを埋め込まれる可能性があります。

2006 年
11 月 17日

2

特定製品の脆弱性

6

(*4)

7
(*1)

8

9
(*1)
(*3)

8

項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN 公表日「eyeOS」におけるクロ
スサイト・スクリプティン
グの脆弱性

デスクトップ環境を提供するシステム「eyeOS」には、ウェブページを出力する際のエスケープ処理に漏れがあります。このため、第三者によりウェブページにスクリプトを埋め込まれる可能性があります。

2006 年
11 月 20日

13(*1)

「 phpComasy 」 に お けるクロスサイト・スクリプ
ティングの脆弱性

コンテンツ管理システム「phpComasy」には、ウェブページを出力する際のエスケープ処理に漏れがあります。このため、第三者によりウェブページにス
クリプトを埋め込まれる可能性があります。

2006 年
11 月 24
日

14(*1)

「tDiary」 に お ける ク ロスサイト・スクリプティン
グの脆弱性

ウェブ日記の作成支援ソフト「tDiary」には、ウェブ
ページを出力する際のエスケープ処理に漏れがあります。このため、第三者によりウェブページにスク
リプトを埋め込まれる可能性があります。

2006 年
11 月 27
日

15「Blogn(ぶろぐん)」におけるクロスサイト・スク
リプティングの脆弱性

ウェブログを作成・管理するためのシステム「Blogn(ぶろぐん)」には、ウェブページを出力する
際のエスケープ処理に漏れがあります。このため、第三者によりウェブページにスクリプトを埋め込まれる可能性があります。

2006 年
11 月 29
日

16「Chama Cargo」におけるクロスサイト・スク
リプティングの脆弱性

ショッピングカート機能を提供するソフト「Chama
Cargo」には、ウェブページを出力する際のエスケープ処理に漏れがあります。このため、第三者によりウェブページにスクリプトを埋め込まれる可能性があります。

2006 年
11 月 30日

17(*1)

「TikiWiki」におけるクロ
スサイト・スクリプティン
グの脆弱性

Wiki クローン「TikiWiki」には、ウェブページを出力する際のフィルタリング処理に漏れがあります。このため、第三者によりウェブページにスクリプトを埋め込まれる可能性があります。

2006 年
12 月 4 日「Ruby」の CGI ライブ
ラリ cgi.rb におけるサービス運用妨害(DoS)の脆弱性

オブジェクト指向スクリプト言語「Ruby」に含まれる"cgi.rb"には、特定のリクエストを処理する際にサー
バリソースを過剰に消費する問題があります。このため、サーバの処理速度が極端に低下し、サービス不能状態になる可能性があります。

2006 年
12 月 4 日「花子」におけるバッファオーバーフローの脆
弱性

統合グラフィックソフトウェア「花子」には、バッファ
オーバーフローの脆弱性が存在します。このため
任意のコードを実行される可能性があります。

2006 年
12 月 5 日「しょぼしょぼ日記シス
テム(sns)」におけるクロスサイト・スクリプティングの脆弱性

ウェブ日記の作成支援ソフト「しょぼしょぼ日記シス
テム(sns)」には、ウェブページを出力する際のエスケープ処理に漏れがあります。このため、第三者によりウェブページにスクリプトを埋め込まれる可能性があります。

2006 年
12 月 8 日「SugarCRM」におけるクロスサイト・スクリプテ
ィングの脆弱性

オープンソースの顧客管理システム「SugarCRM」には、ウェブページを出力する際のエスケープ処理に漏れがあります。このため、第三者によりウェブ
ページにスクリプトを埋め込まれる可能性があります。

2006 年
12 月 21日

12(*1)

特定製品の脆弱性
(*4)

18
(*1)

19

20
(*1)

21
(*1)

9

項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN 公表日

22(*1)

特定製品の脆弱性

23
(*1)

(*4)

24
(*1)

25
(*1)

「a-blog」におけるクロ
スサイト・スクリプティン
グの脆弱性

ブログ作成ソフト「a-blog」には、ウェブページを出力する際のエスケープ処理に漏れがあります。このため、第三者によりウェブページにスクリプトを埋め込まれる可能性があります。

2006 年
12 月 22日「pnamazu」におけるクロスサイト・スクリプティングの脆弱性

全文検索システム「Namazu」の perl 版プログラムである「pnamazu」には、ウェブページを出力する際のエスケープ処理に漏れがあります。このため、第三者によりウェブページにスクリプトを埋め込まれる可能性があります。

2006 年
12 月 25日「 Joomla! 」 に お け る ク
ロスサイト・スクリプティングの脆弱性コンテンツ管理システム「Joomla!」には、ウェブページを出力する際のエスケープ処理に漏れがあります。このため、第三者によりウェブページにスクリプトを埋め込まれる可能性があります。

2006 年
12 月 28日「tDiary」における任意の Ruby スクリプトを実行される脆弱性

ウェブ日記の作成支援ソフト「tDiary」には、設定画面において入力された内容を評価する処理に問題があります。このため、悪意あるページに誘導された場合、ウェブサーバ内の情報が漏洩したり、改竄される可能性があります。

2006 年
12 月 28日(*1)：オープンソースソフトウェア製品の脆弱性、(*2)：組込みソフトウェアの脆弱性(*3)：製品開発者自身から届出られた自社製品の脆弱性(*4)：今四半期は、複数の製品開発者のソフトウェア製品に影響がある脆弱性はありませんでした。
（2）海外 CSIRT から連絡を受け公表した脆弱性
表 2-3、海外 CSIRT から連絡を受けた脆弱性を示します。海外 CSIRT から連絡を受けた脆弱性情報は、登録された国内の製品開発者のうち関連する製品開発者へ通知したうえ、日本語訳を JVN に掲載しています。
今四半期は、米国 CERT/CC（Computer Emergency Response Team/ Coordination Center）から 12 件の脆
弱性関連情報の連絡を受けました。このほか、8 件の US-CERT Technical Cyber Security Alert を JVN で公表しました。
表 2-3 CERT/CC から連絡を受けた脆弱性関連情報および対応状況
項番

脆弱性

対応状況

1

CruiseWorks にバッファオーバーフローの脆弱性

特定製品開発者へ通知

2

CruiseWorks にディレクトリトラバーサルの脆弱性

特定製品開発者へ通知

3

OpenSSH に SSH パケットの検証において多量のリソースを消費する脆
特定製品開発者へ通知
弱性

4OpenSSH におけるシグナルの扱いに関する脆弱性

特定製品開発者へ通知

5

Microsoft XMLHTTP ActiveX コントロールの脆弱性

注意喚起として掲載

6

Broadcom 無線 LAN デバイスドライバの 802.11 フレーム処理におけ
特定製品開発者へ通知る脆弱性

7Apple Mac OS X における DMG ファイルの取扱いに関する脆弱性

注意喚起として掲載

8

GNU gv におけるバッファオーバーフローの脆弱性

注意喚起として掲載

9

ImageKit ActiveX コントロールにおけるバッファオーバーフローの脆弱性

特定製品開発者へ通知

10

項番

脆弱性

対応状況

10

Microsoft Word の文字列処理に関する脆弱性

注意喚起として掲載

11

Intel ネットワークドライバにおける権限昇格の脆弱性

複数製品開発者へ通知

12Yahoo Messenger の YMailAttach ActiveX コントロールにバッファオー
注意喚起として掲載
バーフローの脆弱性

3. ウェブサイトの脆弱性関連情報の取扱い
3.1 ウェブサイトの脆弱性情報
届出受付開始から今四半期末までに IPA に届出られたウェブサイトの脆弱性関連情報 750 件のうち、不受理のものを除いた 704 件について、種類別内訳を図 3-1 に、種類別の届出件数の推移を図 3-2 に、脅威別内訳を図 3-3 に示します。
1%
1%

1%

1%

1%

クロスサイト・スクリプティング
SQLインジェクション
ファイルの誤った公開
DNS情報の設定不備
パス名パラメータの未チェック
HTTPレスポンス分割
メールの第三者中継
43%(41%)
価格等の改ざんセッション管理の不備
HTTPSの不適切な利用ディレクトリ・トラバーサル
フィルタリングの回避
クロスサイト・リクエスト・フォージェリ
オープンプロキシ
セキュリティ設定の不適切な変更
OSコマンドインジェクション
リダイレクタの不適切な利用
その他（704 件の内訳、グラフの括弧内は前四半期の数字）

4%

1%
1%
1%
2%
2%
2%
3%
4%
(4%)
4%(5%)
5%(5%)

23%(23%)

図 3-1

ウェブサイトの脆弱性種類別内訳（届出受付開始から 2006 年 12 月末まで）1

100
90
その他
80

リダイレクタの不適切な利用
セキュリティ設定の不適切な変更
HTTPSの不適切な利用
オープンプロキシ

70
60

クロスサイト・リクエスト・フォージェリ
50

ディレクトリ・トラバーサル
セッション管理の不備

40
30

メールの第三者中継
価格等の改ざん
HTTPレスポンス分割

20

パス名パラメータの未チェック
DNS情報の設定不備

10
0
3Q
2004

4Q

図 3-2

1Q
2Q
2005

3Q

4Q

1Q

2Q
2006

3Q

4Q

ファイルの誤った公開
SQLインジェクション
クロスサイト・スクリプティング

ウェブサイトの脆弱性種類別件数の推移（届出受付開始から 2006 年 12 月末まで）1
11

1%

0.3%

0.6%
1%

本物サイト上への偽情報の表示
データの改ざん、消去
Cookie情報の漏洩
個人情報の漏洩
サーバ内ファイルの漏洩
なりすまし
ドメイン情報の挿入
ウェブキャッシュ情報のすり替え
メールシステムの不正利用
利用者のセキュリティレベルの低下
踏み台
任意のコマンドの実行
サーバ実装情報の漏洩
その他

24%(20%)

2%
2%
3%
4%
4%
6%(7%)

10%(9%)
23%(25%)18%(20%)

図 3-3（704 件の内訳、グラフの括弧内は前四半期の数字）

ウェブサイトの脆弱性脅威別内訳（届出受付開始から 2006 年 12 月末まで）

今四半期も「クロスサイト・スクリプティング」が多く届出られ（図 3-2）、脆弱性の種類は「クロスサイト・スクリ
プティング」「SQL インジェクション」が全体の 7 割近くをしめます（図 3-1）。
「クロスサイト・スクリプティング」が多く届けられたことから脆弱性の脅威としては「本物サイト上への偽情報の表示」が増え、「SQL インジェクション」の脅威である「データの改ざん、消去」よりも多くなっています（図 3-3）。
ウェブサイト運営者は、引き続き脆弱性を作りこまないように注意してください。

3.2 ウェブサイトの脆弱性の修正状況
届出受付開始から 2006 年 12 月末までの届出について、ウェブサイト運営者に脆弱性の詳細情報を通知してから修正されるまでに要した日数およびその傾向を、脆弱性の種類別に図 3-4 および図 3-5 に示します。全
体の 54%の届出が 30 日以内、全体の 80%の届出が 90 日以内に修正されています。
90 日以内の修正件数の割合
2006/4Q まで
2006/3Q まで
81%80%

その他 (30件)
メールの第三者中継 (7件)
パス名パラメータの未チェック (6件)
セキュリティ設定の不適切な変更 (5件)
ディレクトリ・トラバーサル (6件)
ファイルの誤った公開 (11件)
セッション管理の不備 (8件)
HTTPレスポンス分割 (20件)
DNS情報の設定不備 (28件)
SQLインジェクション (71件)
クロスサイト・スクリプティング （211件）

70
60
50
40
30
20
10
0
当日

1日

2日

3日

4日
〜 5日

図 3-4

6日
〜 10日

11日
〜 20日

21日
〜 30日

31日
〜 50日

51日
〜 90日

ウェブサイトの脆弱性修正に要した日数

1291日
201日 301日 〜〜 200日 〜 300日

クロスサイト・スクリプティング （211件）
SQLインジェクション (71件)
DNS情報の設定不備 (28件)
HTTPレスポンス分割 (20件)セッション管理の不備 (8件)
ファイルの誤った公開(11件)

ディレクトリ・トラバーサル(6件)

セキュリティ設定の不適切な変更(5件)

パス名パラメータの未チェック(6件)

メールの第三者中継(7件)

その他 (30件)
全体 （403件）
0%

20%

40%

〜 10日

11日 〜 20日

21日 〜 30日

91日 〜 200日

201日 〜 300日

301日 〜

図 3-5

60%
31日 〜 50日

80%

100%

51日 〜 90日

ウェブサイトの脆弱性修正に要した日数の傾向

4. 皆様へのお願い
脆弱性の修正を促進していくため、以下のとおり、ご注意ください。
ウェブサイト運営者の皆様へ
多くのウェブサイトのソフトウェアに脆弱性が発見されています。自身のウェブサイトでどのようなソフトウェ
アを利用しているかを把握し、セキュリティ対策を実施してください。
製品開発者の皆様へ
JPCERT/CC は、ソフトウェア製品の脆弱性関連情報について、整備している「製品開発者リスト」に基づき、一般公表日の調整等を行います。迅速な調整を進められるよう、「製品開発者リスト」への登録にご協力ください（URL：http://www.jpcert.or.jp/vh/）。また、製品開発者ご自身で脆弱性を発見、修正された場合も、利用者への対策情報の周知のために JVN を活用できます。IPA もしくは JPCERT/CC にご連絡下さい。
一般インターネットユーザの皆様へ
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がけてください。脆弱性があるソフトウェアを使い続けることは避けましょう。
なお、脆弱性関連情報の適切な流通のために、発見者の皆様へも以下のとおりお願いします。
発見者の皆様へ届出いただきました脆弱性関連情報は、脆弱性が修正されるまでの間は第三者に漏れぬよう適切に管理く
ださるようお願いします。

13

参考

付表 1 ソフトウェア製品 脆弱性の原因分類
届出において想定された脅威
アクセス制御の不備
アクセス制御を行うべき個所において、アクセス制 設定情報の漏洩
御が欠如している
通信の不正中継
なりすまし
任意のスクリプトの実行
認証情報の漏洩
ウェブアプリケーション ウェブアプリケーションに対し、入力された情報の内 アクセス制限の回避の脆弱性
容の解釈や認証情報の取扱い、出力時の処理に問 価格等の改ざん題がある。「クロスサイト・スクリプティング」攻撃や サービス不能「SQL インジェクション」攻撃などに利用されてしまう 資源の枯渇
重要情報の漏洩
情報の漏洩
セッション・ハイジャック
通信の不正中継
なりすまし
任意のコマンドの実行
任意のスクリプトの実行
任意のファイルへのアクセス
認証情報の漏洩仕様上の不備RFC 等の公開された規格に準拠して、設計、実装した結果、問題が生じるもの。プロトコル上の不備が サービス不能
資源の枯渇ある場合、ここに含まれる
脆弱性の原因

1

2

3

4

5

6

7

説明

証明書の検証に関する ウェブブラウザやメールクライアントソフトに証明書不備を検証する機能が実装されていない、または、検証 証明書の確認不能
が正しく行われずに、偽の証明書を受けいれてしま なりすましう
セキュリティコンテキスト 本来、厳しい制限のあるセキュリティコンテキストで アプリケーションの異常終了の適用の不備取り扱うべき処理を、緩い制限のセキュリティコンテ 情報の漏洩
キストで処理してしまう
任意のコードの実行
任意のスクリプトの実行
バッファのチェックの想定外の長さの入力が行われた場合に、長さをチェ サービス不能不備
ックせずバッファに入力してしまう。「バッファオーバ 任意のコードの実行
ーフロー」攻撃に利用されてしまう。
任意のコマンドの実行
ファイルのパス名、内容 処理の際のパラメータとして指定されているディレク
アプリケーションの異常終了のチェックの不備
トリ名やファイル名、ファイルの内容をチェックしていサービス不能ない。任意のディレクトリのファイルを指定できてしま
資源の枯渇
い、「ディレクトリ・トラバーサル」攻撃に利用されてし任意のファイルへのアクセスまう。また、破損したファイルや不正に書き換えられ認証情報の漏洩たファイルを処理した際に不具合が生じる

付表 2 ウェブサイト脆弱性の分類
脆弱性の種類

深刻度

1

ファイルの誤った公開高2

パス名パラメータの未チェック

高届出において想定された脅威
個人情報の漏洩
一般に公開すべきでないファイルが公開されて サーバ内ファイルの漏洩
おり、自由に閲覧できる状態になっている
データの改ざん、消去
なりすまし
ユーザからの入力を処理する際のパラメータとして指定されているファイル名を、ユーザが変更
サーバ内ファイルの漏洩
し、ウェブサーバ上の任意のディレクトリのファイルを指定できてしまう
説明

14

脆弱性の種類3

ディレクトリ･トラバー
サル

深刻度

説明

届出において想定された脅威高ウェブサーバ上のディレクトリのアクセス権を超
個人情報の漏洩
えて、本来許可されている範囲外のディレクトリ
サーバ内ファイルの漏洩にアクセスできる4

セッション管理の不備

高セッション管理に、推測可能な情報を使用していCookie 情報の漏洩
るため、他のユーザの情報が容易に推測でき、個人情報の漏洩
他のユーザになりすまして、サービスを利用すなりすましることができる

5

SQL インジェクション

高

入力フォームなどへ SQL コマンド（データベース 個人情報の漏洩
への命令）を入力し、データベース内の情報の サーバ内ファイルの漏洩
閲覧、更新、削除などができる
データの改ざん、消去

6

DNS 情報の設定不備

高

DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名の持ち主である ドメイン情報の挿入
かのようにふるまえてしまう

7

オープンプロキシ

中

8

クロスサイト･
スクリプティング

中9

クロスサイト・リクエスト・
フォージェリ中

10 HTTP レスポンス分割

中11

セキュリティ設定の不適切な変更中12

リダイレクタの不適切な利用

中

13 フィルタリングの回避

14

OS コマンドインジェクション

15 メールの第三者中継

中

中

低

外部の第三者により、他のサーバへのアクセスを中継するサーバとして利用され、不正アクセス
踏み台などの際にアクセス元を隠すための踏み台にされてしまう
Cookie 情報の漏洩
サーバ内ファイルの漏洩
ユーザの Cookie 情報を知らないうちに転送さ個人情報の漏洩せたり、偽の情報を表示させたりするような罠のデータの改ざん、消去
リンクをユーザにクリックさせ、個人情報等を盗なりすましむことができる
本物サイト上への偽情報の表示
ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそかにアクセスさデータの改ざん、消去
せ、登録情報の変更や商品の購入をさせることができる
攻撃者がユーザに対し、悪意のある要求をウェ
ブサーバに送信するように仕向けることで、ウェ ウェブキャッシュ情報のブサーバからの応答を分割させて応答内容をす すり替え
り替え、ユーザに対して偽のページを表示させることができる
ユーザに対し、ソフトウェアをインストールさせたり、ブラウザのセキュリティレベルを下げるよう 利用者のセキュリティレ
指示することでクライアント PC のセキュリティ設 ベルの低下
定を低下させる
ウェブサーバに設置したリダイレクタが悪意ある踏み台
リンクへの踏み台にされたり、そのウェブサイト
本物サイト上への偽情報
上で別のサイト上のページを表示させられてしの表示
まう
ウェブサイトのサービスやブラウザの機能として利用者のセキュリティレ
提供されているフィルタリング機能が回避される
ベルの低下問題。これにより、本来制限されるはずのウェブ
なりすまし
ページを閲覧してしまう
攻撃者がウェブアプリケーションを介してウェブサーバの OS コマンドを実行できてしまい、サ
任意のコマンドの実行
ーバ内ファイルの閲覧やシステム操作、不正なプログラムの実行などを行われてしまう
利用者が入力した内容を管理者が指定したメー
ルアドレスに送信する機能で、外部の利用者が メールシステムの不正利
宛先メールアドレスを自由に指定できてしまい、 用
迷惑メール送信の踏み台に悪用される

15

脆弱性の種類

16

深刻度

HTTPS の不適切な利用

17 価格等の改ざん
API
DNS
CGI
HTTP
HTTPS
ISAKMP
MIME
RFC
SQL
SSI
SSL
TCP
URI
URL

届出において想定された脅威説明低HTTPS による暗号化をしているが、暗号の選択や設定が十分でなかったり、ウェブサイトでのユーザへの説明に間違いがある、または、ウェ なりすまし
ブサイトの設計上、ユーザから証明書が確認できない

低ショッピングサイトにおいて、価格情報等が利用者側で書き換えられる。書き換えによる被害 データの改ざん
は、ウェブサイト側に限定される: Application Program Interface: Domain Name System: Common Gateway Interface: Hypertext Transfer Protocol: Hypertext Transfer Protocol Security: Internet Security Association Key Management Protocol: Multipurpose Internet Mail Extension: Request For Comments: Structured Query Language: Server Side Include: Secure Socket Layer: Transmission Control Protocol: Uniform Resource Identifier: Uniform Resource Locator

付図１．「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み）
ソフトウエア製品の脆弱性

IPA, JPCERT/CC

脆弱性関連情報通知 JPCERT

IPA【受付機関】
受付機関】
報告された
脆弱性関連
情報の
内容の確認

発見者

ウェブサイトの脆弱性

脆弱性関連
情報届出

/CC

製品開発者

脆弱性関連
情報届出

【調整機関】
調整機関】 対応状況の集約，
公表日の決 公表日の
調整等
定，海外の
調整機関と
の連携等

脆弱性関連情報通知

システム導入支援者

対策情報ポータル
（JVN）

対応状況
等公表

政府
企業

セキュリティ
対策推進
協議会 等

個人情報
漏洩時は
ウェブサイト 事実関係を
運営者
公表
検証，対策
実施

①製品開発者及びウェブサイト運営者による脆弱性対策を促進【期待効果】 ②不用意な脆弱性関連情報の公表や脆弱性の放置を抑制③個人情報等重要情報の流出や重要システムの停止を予防

16

ユーザ

個人