プレスリリース
2007 年 10 月 22 日
独立行政法人 情報処理推進機構
有限責任中間法人 JPCERT コーディネーションセンター

ソフトウェア等の脆弱性関連情報に関する届出状況 [2007 年第 3 四半期（7 月〜9 月）]
独立行政法人 情報処理推進機構（略称：IPA、理事長：藤原 武平太）および有限責任中間法人 JPCERTコーディネーションセンター（略称：JPCERT/CC、代表理事：歌代 和正）は、2007 年第 3 四半期（7 月〜9月）の脆弱性関連情報の届出状況1をまとめました。
今四半期の呼びかけ：「製品開発者・ｳｪﾌﾞｻｲﾄ運営者は、脆弱性を攻撃された場合の脅威を認識し、早期に対応して下さい！」−「知っていますか？脆弱性（ぜいじゃくせい）」2を参考に−※JPCERT/CC が脆弱性情報を調整する製品開発者の登録者数が累計で 200 社を突破しました。
※ウェブサイトに関する届出が累計で 1,000 件を突破しました。

1．2007 年第 3 四半期の届出状況
表 1 に示すように、2007 年 7 月 1 日から 9 月 30 日までの IPAへの脆弱性関連情報の届出件数は、ソフトウェア製品に関するもの 49 件、ウェブサイト（ウェブアプリケーション）に関するもの 103
件、合計 152 件でした。届出受付開始（2004 年 7 月 8 日）からの

表 1．2007 年第 3 四半期の届出件数
分類
届出件数 累計件数
ソフトウェア製品
49 件
560 件
ウェブサイト103 件
1,043 件
計152 件
1,603 件

累計は、ソフトウェア製品に関するもの 560 件、ウェブサイトに関するもの 1,043 件、合計 1,603 件で、ウェブサイトに関する届出が全体の 3 分の 2 を占めています。
(1)四半期毎の届出状況の推移
図１3に示すように、届出受付開始（2004 年 7 月 8 日）から各四半期末時点までの就業日 1 日あたりの届出件数が、近年着実に増加してきています。今四半期で就業日 1 日あたり 2.03 件となり、2 件を突破しました。
また、今四半期はウェブサイトに関する届出が 103 件と過去最高を記録し、累計で 1,000 件を突破しました。
脆弱性関連情報の届出制度が浸透してきているものと考えています。
就業日 1 日あたりの届出件数（届出受付開始から各四半期末時点）
2005/1Q 2005/2Q 2005/3Q 2005/4Q 2006/1Q 2006/2Q 2006/3Q 2006/4Q 2007/1Q 2007/2Q 2007/3Q

1.45

1.43

1.58

1.59

1.61

1.70

1.75

1.92

ウェ ブサイトに関する届出

ソフトウェ ア製品に関する届出（累計）

ウェ ブサイトに関する届出（累計）

2.03

940

1043
1000

845
661

150

四
半
100
期
件
50 2 1 1
数
0

1.98

1250

ソフトウェ ア製品に関する届出

200

1.95

13

434

46
71

67
21

564

507

428

379

277

66

100
33 102

143
43 55

749

264

178
35 73

511

465

560

750
500

303

累
計
件
数

250
86

57

39 97

125 88

37 96

46

95

49 1030

2005/1Q 2005/2Q 2005/3Q 2005/4Q 2006/1Q 2006/2Q 2006/3Q 2006/4Q 2007/1Q 2007/2Q 2007/3Q

図1．脆弱性関連情報の四半期別届出件数の推移
1

ソフトウェア等の脆弱性関連情報に関する届出制度：経済産業省告示に基づき、2004 年 7 月より開始しました。
IPA は届出受付・分析、JPCERT/CC は国内の製品開発者などの関連組織との調整を行っています。
2「知っていますか？脆弱性 (ぜいじゃくせい)」を 2007 年 7 月より公開しました。就業日１日当たり 1 千件を超えるアクセスがあり、好評に活用されています。http://www.ipa.go.jp/security/vuln/vuln̲contents/
32007 年第 2 四半期に公表した四半期別届出件数の推移のグラフから、ソフトウェア製品に関する届出に関して、製品開発者が個別対応を行ったものを件数として追加するなどの変更をしました。
12.ソフトウェア製品の脆弱性の処理状況

表 2．ソフトウェア製品の脆弱性の処理件数

表 2 に示すように、2007 年第 3 四半期にソフトウェア製品

分類の脆弱性の修正が完了し JVN4で対策情報を公表したもの

件数

累計件数

公表済み

18 件

211 件

は 18 件（届出受付開始からの累計 211 件）、製品開発者か

個別対応

2件

12 件

らの届出のうち製品開発者が個別対応を行ったもの 2 件（累脆弱性ではない0件

29 件

計 12 件）、製品開発者が脆弱性ではないと判断したものは 0

不受理

0件

74 件

20 件

326 件

件（累計 29 件）、告示で定める届出の対象に該当せず不受

計理としたものは 0 件（累計 74 件）です。これらの取扱いを終了したものの合計は 20 件（累計 326 件）です。詳細は別紙 1 の P.6 の１章を参照下さい。
また、この他に、海外の CSIRT5から連絡を受けたもの 25 件（累計 286 件）の脆弱性対策情報を JVN で公表しました。これらの、ソフトウェア製品の脆弱性対策情報の四半期別公表件数の推移は図２を参照下さい。
国内発見者から届出があったもの

海外のCSIRTから連絡を受けたもの

60国内発見者から届出があったもの(累計)

71
54

10

20

100

30

17
7

13

17

15

26

14

17

8

19

22

14

200 計
150 数

89

67

59

45

250 累

件

142
117

97

20

193

211

170

147

133

114

30

0

203

183

40

300

261

238

50

四
半
期
件
数

286

海外のCSIRTから連絡を受けたもの（累計）

28

36

25

20

28

35

23

23

18

25

50
0

2005/1Q 2005/2Q 2005/3Q 2005/4Q 2006/1Q 2006/2Q 2006/3Q 2006/4Q 2007/1Q 2007/2Q 2007/3Q

図2．ソフトウェア製品の脆弱性対策情報の四半期別公表件数の推移(1)「Lhaplus」の脆弱性を注意喚起しました6
データ圧縮・解凍ソフトウェア「Lhaplus」に、バッファオーバーフローというセキュリティ上の弱点(脆弱性)が存在しました。「Lhaplus」は、lzh 形式のファイル圧縮形式に対応しているソフトウェアの一つとして、日本国内で広く利用されています。
脆弱性による影響が大きいことと、Lhaplus の普及状況より、この影響を受ける利用者が国内に広く存在す
ると判断し、9 月 21 日に注意喚起を行いました。
（詳細は 9 月 21 日付プレスリリースを参照。 http://www.ipa.go.jp/security/vuln/200709_Lhaplus.html
http://www.jpcert.or.jp/at/2007/at070020.txt ）(2)「Flash Player」において任意の Referer ヘッダ7が送信可能な脆弱性の取扱いについて
ウェブ上で音声やアニメーションを再生するためのソフトウェア「Flash Player」には、任意の Referer ヘッダが送信可能な問題がありました。このため、Referer ヘッダを基にセキュリティ対策を行っているウェブアプリケーションは、そのセキュリティ対策が迂回されてしまう可能性がありました（別紙１の P.9 の表 1-2 項番 2）。
本件は、当初、Flash Player とは異なる国内製品（ウェブアプリケーション）の脆弱性として届出られたものでした。この問題の解決には、届出られた製品側で Referer ヘッダを基にしたセキュリティ対策を止めることや、
4

Japan Vulnerability Notes。脆弱性対策情報ポータルサイト。国内で利用されている製品の脆弱性対策情報を公開し、システムのセキュリティ対策を支援しています。IPA、JPCERT/CC が共同で運営しています。http://jvn.jp/
5Computer Security Incident Response Team。コンピュータセキュリティインシデント対応チーム。コンピュータセキ
ュリティに関するインシデント（事故）への対応・調整・サポートをする組織です。
6
本脆弱性の深刻度=レベル II（警告）、CVSS 基本値=6.8、別紙１の P.10 の表 1-2 項番 14 を参照下さい。
7
HTTP のリクエストに含まれる情報で、リンク元を示す情報として送られる。通常、ウェブブラウザが自動的にリンク元のページの URL を Referer ヘッダとして、リンク先のサーバへ送っている。

2

ウェブブラウザ側で Referer ヘッダの送信方法を修正することも考えられました。しかし、本来、Referer ヘッダ
は、リンク元を示す情報としてクライアントからサーバへ架空の URL を送信してはならないとされています。
JPCERT/CC、IPA で調整を行った結果、米国 CERT/CC にも働きかけ、米国の Flash Player の開発者と交渉した結果、米国の Flash Player の開発者が修正を行い、7 月 11 日に脆弱性対策情報を公表しました。

(3)JPCERT/CC が脆弱性情報を調整する製品開発者の登録者数が累計で 200 社を突破しました
JPCERT/CC は、ソフトウェア製品の脆弱性が発生した際、影響を受ける可能性のある製品開発者を特定し、迅速かつ確実な情報を提供することを目的に、その連絡先となる製品開発者を製品開発者リストとして整備してきました。図 3 に示すように、この製品開発者リストに登録した製品開発者（製品脆弱性対策管理者）が9 月末時点で 207 社となりました。今後も脆弱性への早期対応を図るため、製品開発者リストへの登録を広く募集しています。

(4)脆弱性対策情報データベース「JVN iPedia」8の登録件数が 4,000 件を突破しました
脆弱性対策情報データベース「JVN iPedia」は、約 3,600 件の登録情報で 4 月 25 日から提供開始しました。以来、図 4 に示すように、公開後も就業日１日当たり平均約 5 件の情報を登録し、9 月末時点で登録件数
が 4,116 件となりました。就業日１日当たり 2 千件を超えるアクセスがあり、好評に活用されています。
（詳細は 9 月 14 日付プレスリリースを参照。 http://www.ipa.go.jp/security/vuln/200709_JVN_iPedia.html ）製品開発者(製品脆弱性対策管理者)の登録数(累計)

（件）

207

4200

（社）

累 200
計 150
登
録 100
数

累
計 4000
登録 3800
数

165
114
40

脆弱性対策情報の登録件数（累計）

4 ,1 1 6
4 ,0 4 7
3 ,8 8 2

3 ,9 6 1

3 ,7 8 2
3 ,6 1 1

3600

50

3400

0
2004年

2005年

2006年

4月

2007年
（〜2007/9末）

5月

6月

7月

8月

9月

2007年

図3．製品開発者リストへの登録数の推移

図4．JVN iPediaへの登録件数の推移(5)脆弱性の深刻度評価を新バージョン CVSS v29へ移行しました
ソフトウェア製品の脆弱性の深刻度評価に、FIRST10が推進している、共通脆弱性評価システム CVSS を採用しています。CVSS は、情報システムの脆弱性に対するオープンで汎用的な評価手法で、特定のベンダーに依存しない共通の評価方法として、脆弱性の深刻さを、製品利用者や SI 事業者、製品開発者などが、同一の基準の下で定量的に比較できるものです。現在、CVSS は 30 を超える組織で採用されています11。
スペインで開催された FIRST 年会議で CVSS の新バージョンである CVSS v2 が公表されたのを受け、脆弱性対策情報の公表ページ12、及び、JVN iPedia の深刻度評価を 8 月 20 日に CVSS v2 へ移行しました。

8

脆弱性対策情報データベース（ジェイブイエヌ アイ・ペディア）。脆弱性対策情報ポータルサイト「JVN」で公表した脆弱性対策情報約 400 件に加え、米国国立標準技術研究所 NIST が国立脆弱性データベース「NVD」で公開している約 2 万 5 千件の主に欧米英語圏の情報の中から、IPA が日本国内で使用されている製品に関連していると思われる情報を約 3,200 件を選び出し、その情報を翻訳し、公表を開始しました。http://jvndb.jvn.jp/
9Common Vulnerability Scoring System。http://www.ipa.go.jp/security/vuln/SeverityCVSS2.html
10Forum of Incident Response and Security Teams。コンピュータセキュリティインシデント対応チームフォーラム。
CSIRT(Computer Security Incident Response Team)の国際的な連合体。http://www.first.org/
11
CVSS の採用組織：http://www.first.org/cvss/eadopters.html
12
http://www.ipa.go.jp/security/vuln/documents/index.html

3

JVN iPedia では脆弱性そのものの特性を評価した CVSS 基本値を公表しています。JVN iPedia の CVSS
計算ツール（図 5）を用い、製品利用者自身が脆弱性への対応を決めるための CVSS 現状値（攻撃コードの出現有無、対策情報の適用可否など）や CVSS 環境値（各組織での対象製品の利用範囲、攻撃を受けた場
合の被害の大きさなど）を計算することが可能です。就業日１日当たり 400 件を超えるアクセスがあり、好評に活用されています。今後も製品利用者は積極的に活用下さい。

JVN iPediaが公表している
CVSS基本値の評価結果

脆弱性への対応を決めるために
製品利用者自身が評価する内容
図5．JVN iPediaのCVSS計算ツール
表 3．ウェブサイトの脆弱性の処理件数

3.ウェブサイトの脆弱性の処理状況
表 3 に示すように、2007 年第 3 四半期にウェブサイトの脆弱性の修正が完了したものは 26 件（届出受付開始からの累計 655 件）、ウェブサイト運営者が脆弱性ではないと判断したものは 24 件（累計 111 件）、ウェブサイト運営者と連絡が不可能なものが 0 件（累計 7 件）、告示で定める届出の対象に

分類

件数

累計件数

修正完了

26 件

655 件

脆弱性ではない

24 件

111 件

連絡不可能

0件

7件

不受理

3件

72 件

53 件

845 件

計

該当せず不受理としたものは 3 件（累計 72 件）です。これらの取扱いを終了したものの合計は 53 件（累計 845 件）です。詳細は別紙 1 の P.12 の 2 章を参照下さい。
(1)ウェブサイトの脆弱性の届出が 1,000 件を突破しました
図 6 に届出受付開始（2004 年 7 月 8 日）から今四半期末までに届出られたウェブサイトの脆弱性の処理状況を示します。届出られた 1,043 件のうち、「取扱い終了」は 773 件（74%）、「取扱い中」は 198 件（19%）、「不受理」は 72 件（7%）となっており、「取扱い中」を除く 845 件（81%）は取扱いの処理を終了しています。
「取扱い終了」のうち、「修正完了」したものは 655 件、ウェブサイト運営者により「脆弱性ではない」と判断されたものは 111 件でした。なお、IPA はメールのほか、電話や郵送手段及びレンタルサーバ会社と通じてなど
により、ウェブサイト運営者への連絡を試みていますが、それでも、ウェブサイト運営者から回答がなく「連絡不可能」なものは 7 件ありました。
「修正完了」のうち、ウェブサイト運営者からの依頼を受け、当該脆弱性が適切に修正されたかどうかを IPAが無償で確認したものは 113 件、ウェブサイト運営者が当該ページを削除することにより対応したものは 62 件、4ウェブサイト運営者が運用により被害を回避しているものは 18 件でした。
「修正完了」した 655 件のうち 79%が、ウェブサイト運営者に脆弱性の詳細情報を通知してから 90 日以内に脆弱性の修正を完了しています（詳細は別紙 1 の P.14 の図 2-5 を参照下さい）。ウェブサイト運営者は脆
弱性への素早い対応が必要です。
取扱い終了：773件(74%)
2004年7月〜
2007年9月

修正完了

内確認済

脆弱性
内当該ページ

内運用でを 削除（62）

回避（18）

655

（113）

0

200

400

600

ではない

111

7

連絡不可能

(19%)

(7%)

取扱い中
198

不受理

800

72

合計
1043件

1000

修正完了
： ウェブサイト運営者により脆弱性が修正されたもの
内確認済：
修正完了のうち、IPAが修正を確認したもの
内当該ページを削除 ：修正完了のうち、当該ページを削除して対応したもの
内運用で回避：修正完了のうち、運用により被害を回避しているもの
脆弱性ではない： ウェブサイト運営者により脆弱性はないと判断されたもの
連絡不可能： ウェブサイト運営者からの回答がなく、取扱いができない
取扱い中： ウェブサイト運営者が調査、対応中のもの
不受理： 告示で定める届出の対象に該当しないもの

図6．ウェブサイトの脆弱性の処理状況(2)ウェブサイトの脆弱性で 300 日以上も対策が完了していないものが 50 件に達しました
IPA は、ウェブサイト運営者へ脆弱性の詳細情報を送付してから脆弱性対策の返信がない場合、当初 1 カ
月毎に数回、その後 2〜3 カ月毎にウェブサイト運営者へ、メールや郵送手段などで脆弱性対策を促しています。それにもかかわらず、300 日以上も対策が完了していないものが、図 7 に示すように 50 件に達しました。
フィッシング詐欺に悪用されてしまう可能性のあるクロスサイト・スクリプティングや、ウェブサイトの情報が盗まれてしまう可能性のある SQL インジェクションのように、深刻度の高い脆弱性でも修正が長期化しているものがあります。ウェブサイト運営者は脆弱性を攻撃された場合の脅威を認識し、早期に問題を解決することが必要です。
70
件数

117

その他
SQLインジェクション
クロスサイト・スクリプティング
累計件数（右目盛）

60
50
40

120

30

10
0

9

68
50

8
6
2

20

14
2

4

41

1

2

16

34

32

20

140
累計件数

2
8
1

1

1
11
4

5

4

100
80
60
40

24

9

20
0

800日以上 799〜700日 699〜600日 599〜500日 499〜400日 399〜300日 299〜200日 199〜90日

図7．修正が長期化しているウェブサイトの未修正の経過日数と脆弱性の種類■ 本件に関するお問い合わせ先
独立行政法人 情報処理推進機構 セキュリティセンター
Tel: 03-5978-7527 Fax: 03-5978-7518 E-mail: vuln-inq@ipa.go.jp
有限責任中間法人 JPCERT コーディネーションセンター
Tel: 03-3518-4600 Fax: 03-3518-4602 E-mail: office@jpcert.or.jp■ 報道関係からのお問い合わせ先
独立行政法人 情報処理推進機構 戦略企画部広報グループ 横山／佐々木
Tel: 03-5978-7503 Fax:03-5978-7510 E-mail: pr-inq@ipa.go.jp
有限責任中間法人 JPCERT コーディネーションセンター 経営企画室 広報 江田
Tel:03-3518-4600 Fax:03-3518-4602 E-mail: pr@jpcert.or.jp

5

別紙１

1. ソフトウェア製品の脆弱性関連情報の取扱いおよび調整
1.1 ソフトウェア製品の脆弱性の処理状況
ソフトウェア製品の脆弱性関連情報の届出について、処理状況を図 1-1 に示します。今四半期に公表した脆弱性は、18 件（累計 211 件）でした。また、製品開発者が「個別対応」したものは 2 件（累計 12 件）でした。
（括弧内の数字は、今四半期に「公表」、取扱い終了：143件
2006年
9月末

117

「脆弱性でない」と判断されたもの等の件数）
107

7 19

53

合計303件

186

67

175件
2006年
12月末

142

8 25

合計428件

209件
2007年
3月末

170

185

10 29

71

合計465件

232件
2007年
6月末

193

205

10 29

74

合計511件252件(20件)
2007年
9月末

12 29
(2) (0)

公表済み
211(18)0100

個別対応 脆弱性ではない

公表済み
個別対応
脆弱性ではない
取扱い中
不受理

200

300

取扱い中

不受理

234

74(0)
400

500

合計
560件
600

： JVN で脆弱性への対応状況を公表したもの： 製品開発者からの届出のうち、製品開発者が個別対応したもの： 製品開発者により脆弱性ではないと判断されたもの： 製品開発者が調査、対応中のもの： 告示で定める届出の対象に該当しないもの

図 1-1.ソフトウェア製品 各時点における脆弱性関連情報の届出の処理状況

1.2 届出られた製品の種類
届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報 560 件のうち、不受理のものを除いた 486 件の製品種類別の内訳を図 1-2 に示します。
図 1-2 に示すように、IPA に届出があった脆弱性には、「ウェブアプリケーションソフト」に関するものが多くあり
ます。

3%
3%

1% 1%
2%
2%
3%
3%

1% 8%

38%(38%)3%(4%)
8%(9%)
10%(11%)

12%(13%)

ウェブアプリケーションソフト
ウェブブラウザ
グループウェア
アプリケーション開発・実行環境
アンチウイルスソフト
システム管理ソフト
ウェブサーバメールソフト
検索システムルータ
OS
ファイル管理ソフト
ワープロソフト
ファイル交換システム
その他（486 件の内訳、グラフの括弧内は前四半期の数字）※

その他には、携帯機器、情報家電、パソコンの周辺機器、データベース、プロキシ等があります。

図 1-2.ソフトウェア製品の脆弱性 製品種類別内訳（届出受付開始から 2007 年 9 月末まで）
6

1.3 脆弱性の原因と脅威
届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報 560 件のうち、不受理のものを除いた 486 件の原因別の内訳を図 1-3 に、原因別の届出件数の推移を図 1-4 に、脅威別の内訳を図 1-5 に示します。
図 1-3 に示すように、脆弱性の原因は「ウェブアプリケーションの脆弱性」が最多となっています。これは、「ウェブアプリケーションソフト」以外のソフトウェア製品であっても、ウェブブラウザから管理、使用するものが多くあり、そこに脆弱性が存在するためです。この傾向は図 1-4 に示すように 2 年以上も続いています。脅威については、
図 1-5 に示すように、「任意のスクリプト実行」が最多となっています。

6%

ウェブアプリケーションの脆弱性
バッファのチェックの不備
ファイルのパス名、内容のチェックの不備
仕様上の不備セキュリティコンテキストの適用の不備
アクセス制御の不備証明書の検証に関する不備
その他実装上の不備
その他ウェブに関連する不備

12%
2%
2%
3%(4%)
4%(4%)
62%(70%)4%(4%)
6%(4%)（486 件の内訳、グラフの括弧内は前四半期の数字）

図 1-3.ソフトウェア製品の脆弱性 原因別内訳（届出受付開始から 2007 年 9 月末まで）13120

その他ウェブに関連する不備
その他実装上の不備
証明書の検証に関する不備

100

アクセス制御の不備
セキュリティコンテキストの適用の不備
80

ファイルのパス名、内容のチェックの不備
仕様上の不備
バッファのチェックの不備

60

ウェブアプリケーションの脆弱性
40

20

0
3Q

4Q

2004

1Q

2Q

3Q

2005

4Q

1Q

2Q

3Q

2006

4Q

1Q

2Q

3Q

2007

図 1-4.ソフトウェア製品の脆弱性 原因別内訳（届出受付開始から 2007 年 9 月末まで）14

13

それぞれの脆弱性の詳しい説明については付表 1 を参照してください。

7

1%

1%

1%
2%
2%
3%
3%

1%

3%

任意のスクリプトの実行
情報の漏洩
なりすまし
任意のコードの実行
サービス不能任意のコマンドの実行
任意のファイルへのアクセス
通信の不正中継
認証情報の漏洩
アクセス制限の回避
アプリケーションの異常終了
セッション・ハイジャック
資源の枯渇
データベースの不正操作
証明書等の確認不能その他

3%
48%(48%)5%5%(5%)
6%(4%)
6%(7%)
9%(8%)（486 件の内訳、グラフの括弧内は前四半期の数字）

図 1-5.ソフトウェア製品の脆弱性 脅威別内訳（届出受付開始から 2007 年 9 月末まで）

1.4 ソフトウェア製品の脆弱性情報の調整および公表状況
JPCERT/CC は、表 1-1 に示す 2 種類の脆弱性関連情報について、日本国内の製品開発者等の関係者との調整、および海外 CSIRT14の協力のもと海外の製品開発者との調整を行っています。これらの脆弱性関連情報に対する製品開発者の対応状況は、IPA と JPCERT/CC が共同運営している脆弱性対策情報ポータルサイト
JVN（Japan Vulnerability Notes）において公表しています（URL： http://jvn.jp/ ）。

表 1-1.脆弱性関連情報の提供元別 脆弱性公表件数
情報提供元

今期

累計

①

国内の発見者から IPA に届出があったもの、および、製品開発者自身から自社製品の脆弱性、対策方法について連絡を受けたもの

18

211

②

海外 CSIRT 等と連携して公表したもの

25

286

計

43

497

（1）国内の発見者および製品開発者から届出があり公表した脆弱性
届出受付開始から 2007 年 9 月末までの届出について、脆弱性関連情報の届出（表 1-1 の①）を受理してか
ら製品開発者が対応状況を公表するまでに要した日数を図 1-6 に示します。45 日以内に公表される件数が36%と減少してきており、公表日数が増加する傾向にあります。製品開発者は脆弱性への早急な対応が必要です。
45 日以内の公表件数の割合
2007/1Q まで
2007/2Q まで
38%
36%

36% （45日以内の公表）

全体（211件)

17件

22件

69件

44件

〜10 日 11〜20 日 21〜30 日 31〜45 日

46〜100 日

101〜200 日

0%

19件

10%

18件

20%

30%

40%

50%

60%

70%

80%

2007/3Q まで
36%

13件 9件201〜300 日 301 日〜

90%

100%

図 1-6.ソフトウェア製品の脆弱性 公表日数14

CSIRT（Computer Security Incident Response Team）は、コンピュータセキュリティに関するインシデント（事故）への対応や調整、サポートをするチームのことです。

8

表 1-2 に、国内の発見者、製品開発者から届出を受け、今四半期に公表した脆弱性を示します。
オープンソースソフトウェアに関して開発者、開発コミュニティに通知し公表したものが 4 件（表 1-2 の*1）、製品開発者自身から自社製品に関する脆弱性対策情報について連絡を受け公表したものが 1 件（表 1-2 の*2）、複数の製品開発者のソフトウェア製品に影響がある脆弱性が 1 件（表 1-2 の*3）、組込みソフトウェア製品の脆弱性が 1 件（表 1-2 の*4）ありました。

表 1-2.2007 年第 2 四半期に JVN で公表した脆弱性
項
番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN
公表日

CVSS
基本値

脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.0〜6.9

1KDDI 製 ダ ウ ン ロ ー ド 携帯端末向け CGI である KDDI 製「ダウンロード CGI サ
CGI サンプルプログラム ンプルプログラム」には、ディレクトリ・トラバーサルの問題が 2007 年 7におけるディレクトリ・トラ あります。このため、第三者によりサーバ内の任意のファイル 月 9 日を閲覧される可能性があります。
バーサルの脆弱性

5.0

2

ウ ェ ブ 上 で 音 声 や ア ニ メ ー シ ョ ン を 再 生 する た め の ソ フ トFlash Player において任「Flash Player」には、任意の Referer ヘッダが送信可能な問 2007 年 7
意の Referer ヘッダが送
題があります。このため、Referer ヘッダを基にしたセキュリテ 月 11 日
信可能な脆弱性
ィ対策を迂回される可能性があります。

4.3

コンピュータの脆弱性検査ソフト「Nessus」には、HTML ページ
Nessus のレポート出力機
3を出力する際のエスケープ処理に漏れがあります。このた 2007 年 7
能において任意のスクリ(*1)
め、第三者により意図しないスクリプトが実行されてしまう可 月 20 日
プトが実行される脆弱性
能性があります。

5.7

Aruba Mobility Controller ウェブベースの管理画面を持つスイッチ製品「Aruba Mobility
4 シ リ ー ズ に お け る ク ロ ス Controller」シリーズには、ウェブページを出力する際のエスケ 2007 年 7(*4) サイト・スクリプティングの ープ処理に漏れがあります。このため、第三者によりウェブペ 月 25 日
脆弱性ージにスクリプトを埋め込まれる可能性があります。

4.3

5

Mac OS X に搭載されているウェブブラウザ「Safari」には、ア
Safari における URL の ドレスバーなどの URL 表示に問題があります。このため、 2007 年 8
表示偽装の脆弱性
第三者により偽装された URL に誘導され、フィッシング詐欺 月 2 日などの被害に遭う可能性があります。

4.3

6

ショッピングサイト構築ソフト「WebCart」には、ウェブページを
WebCart におけるクロス
出力する際のエスケープ処理に漏れがあります。このため、 2007 年 8
サイト・スクリプティングの第三者により管理者用のウェブページにスクリプトを埋め込ま 月 10 日
脆弱性
れる可能性があります。

6.4

ウェブアプリケーション開発支援ソフト「Tuigwaa」には、ウェブ
Tuigwaa におけるクロス
7
ページを出力する際のエスケープ処理に漏れがあります。こ 2007 年 8
サイト・スクリプティングののため、第三者によりウェブページにスクリプトを埋め込まれ 月 27 日(*1)
脆弱性
る可能性があります。

4.3

ウェブアプリケーション開発支援ソフト「Mayaa」には、クロスサ
Mayaa におけるクロスサ
8
イト・スクリプティングの問題があります。このため、第三者に 2007 年 8
イト・スクリプティングの脆(*1)
よりウェブページにスクリプトを埋め込まれる可能性がありま 月 27 日
弱性
す。

4.3

ショッピングサイト構築ソフト「ショッピングバスケットプロ」にショッピングバスケットプ
は、ディレクトリ・トラバーサルの問題があります。このため、 2007 年 8ロにおけるディレクトリ・ト
サーバ内の任意のファイル名やディレクトリ名を閲覧される可 月 31 日
ラバーサルの脆弱性能性があります。

5.0

9

9

項
番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN
公表日

CVSS
基本値

futomi's CGI Cafe 製 全 ウェブサイト用検索ソフト「 futomi's CGI Cafe 製 全文検索
文検索 CGI におけるク CGI」には、ウェブページを出力する際のエスケープ処理に漏 2007 年 910
ロスサイト・スクリプティン れがあります。このため、第三者によりウェブページにスクリ 月 3 日
グの脆弱性
プトを埋め込まれる可能性があります。

4.3

ファイル圧縮・展開用ライブラリ「7-ZIP32.DLL」には、バッファ7-ZIP32.DLL におけるバオーバーフローの脆弱性が存在します。このため、利用者の 2007 年 9ッファオーバーフローの脆コンピュータ上で任意のコードを実行される可能性がありま 月 5 日
弱性
す。

6.8

Fuktommy.com 製 HTML ウェブサーバである「Fuktommy.com 製 HTML プリプロセッ
プ リ プ ロ セ ッ サ 付 属 の サ 付属の httpd.pl」には、ディレクトリ・トラバーサルの問題
2007 年 912 httpd.pl におけるディレク があります。このため、第三者によりサーバ内の任意のファイ
月6日
トリ・トラバーサルの脆弱 ルを閲覧される可能性があります。
性5.0

Fuktommy.com 製 HTML ウェブサーバである「Fuktommy.com 製 HTML プリプロセッ
プ リ プ ロ セ ッ サ 付 属 の サ 付属の httpd.pl」には、HTTP リクエスト中のファイル名を2007 年 913 httpd.pl における任意の 正しく処理できない問題があります。このため、第三者により
月6日
CGI ソースコードが閲覧 サーバ内の任意の CGI ソースコードを閲覧される可能性が可能な脆弱性あります。

5.0

ファイル圧縮・展開ソフト「 Lhaplus」には、バッファオーバーフ
Lhaplus におけるバッファ2007 年 9ローの脆弱性が存在します。このため、利用者のコンピュータ
月 21 日オーバーフローの脆弱性
上で任意のコードを実行される可能性があります。

6.8

グループウェア「Aipo」には、セッション ID の固定化攻撃が行われてしまう問題があります。このため、第三者にあらかじめ
Aipo におけるセッション
2007 年 915
用意したセッション ID を何らかの方法で利用者に送り込ま
月 28 日固定の脆弱性れ、利用者のログインのタイミングを狙って、その利用者になりすまされてしまう可能性があります。

4.0

11

14

脆弱性の深刻度=レベル I（注意）、CVSS 基本値=0.0〜3.9
会計業務支援ソフト「弥生会計」のクイックナビゲータ機能には、ユーザの認証情報を暗号化せずに送信する問題があり
弥生会計における認証情2007 年 816ます。このため、第三者に通信を盗聴された場合、ユーザの報の扱いに関する脆弱性
月 15 日
認証情報が悪用され、なりすましなどの不正アクセスが行なわれる可能性があります。

2.6

Apache Tomcat の Host 「 Apache Tomcat」の管理者向けインターフェースソフト「 Host
17
Manager におけるクロス Manager」には、ウェブページを出力する際のエスケープ処理 2007 年 8(*1)
サイト・スクリプティングの に漏れがあります。このため、第三者によりウェブページにス 月 15 日(*3)
脆弱性
クリプトを埋め込まれる可能性があります。

2.6

ソニー製 USB メモリ「ポケットビット」のうち指紋認証機能つき
ソニー製指紋認証機能つ
18の製品に付属するソフトには、特定のフォルダを不可視にす 2007 年 9き「ポケットビット」付属ソる問題があります。このため、不可視化されたフォルダを、第 月 7 日(*2)
フトウェアにおける脆弱性
三者により意図しない用途で利用される可能性があります。

2.6(*1)：オープンソースソフトウェア製品の脆弱性(*2)：製品開発者自身から届出られた自社製品の脆弱性(*3)：複数開発者・製品に影響がある脆弱性(*4)：組込みソフトウェア製品の脆弱性

10（2）海外 CSIRT 等と連携して公表した脆弱性
JPCERT/CC が海外 CSIRT 等と連携して公表した脆弱性 25 件には、通常の脆弱性情報 17 件（表 1-3）と、対応に緊急を要する Technical Cyber Security Alert（表 1-4）の 8 件とが含まれます。これらの脆弱性情報は、通常関連する登録済み製品開発者へ通知したうえ、JVN に掲載しています。

表 1-3.米国 CERT/CC15等と連携した脆弱性関連情報および対応状況
項
番

脆弱性

対応状況

1

Lhaca におけるバッファオーバーフローの脆弱性

注意喚起として掲載

2

BIND9 の乱数生成に脆弱性

複数製品開発者へ通知

3

Atheros 社のワイヤレスネットワークドライバにおけるマネージメントフレームの取複数製品開発者へ通知り扱いに関する脆弱性

4

Sun Java Web Start にバッファオーバーフローの脆弱性

注意喚起として掲載

5

一太郎シリーズに任意のコードが実行される脆弱性

特定製品開発者へ通知

6

RSA key reconstruction vulnerability

複数製品開発者へ通知

7

JRE (Java Runtime Environment) のフォント解析コードに権限昇格の脆弱性

注意喚起として掲載

8

Lhaz に任意のコードが実行される脆弱性

特定製品開発者へ通知

9

Trend Micro ServerProtect におけるバッファオーバーフローの脆弱性

注意喚起として掲載

10

Yahoo! メッセンジャーの webcam stream の処理にヒープオーバーフローの脆弱特定製品開発者へ通知
性11

BIND8 の乱数生成に脆弱性

12

MSN メッセンジャーおよび Windows Live メッセンジャーの webcam ストリーム
特定製品開発者へ通知の処理にヒープオーバーフローの脆弱性

13

MIT Kerberos 5 kadmind にバッファオーバーフローの脆弱性

複数製品開発者へ通知

14

MIT Kerberos 5 kadmind に権限昇格の脆弱性

複数製品開発者へ通知

15

web サービスにおいて認証情報が暗号化されずに通信される問題

注意喚起として掲載

16

Apple QuickTime に任意のコマンドが実行される脆弱性

注意喚起として掲載

17

Microsoft MFC FindFile() 関数にヒープバッファオーバーフローの脆弱性

注意喚起として掲載

複数製品開発者へ通知

表 1-4.米国 US-CERT16と連携した脆弱性関連情報および対応状況
項
番

15
16

脆弱性

対応状況

1

Microsoft 製品における複数の脆弱性

緊急案件として掲載

2

Adobe Flash Player に複数の脆弱性

緊急案件として掲載

3

Apple QuickTime に複数の脆弱性

緊急案件として掲載

4

Mozilla 製品における複数の脆弱性

緊急案件として掲載

5

Oracle 製品に複数の脆弱性

緊急案件として掲載

6

Microsoft 製品における複数の脆弱性

緊急案件として掲載

7

Trend Micro ServerProtect に複数の脆弱性

緊急案件として掲載

8

Microsoft 製品における複数の脆弱性

緊急案件として掲載

CERT/Coordination Center。1988 年のウィルス感染事件を契機に米国ｶｰﾈｷﾞｰﾒﾛﾝ大学に設置された CSIRT。
United States Computer Emergency Readiness Team。米国の政府系 CSIRT。

11

2. ウェブサイトの脆弱性関連情報の取扱い
2.1 ウェブサイトの脆弱性の処理状況
ウェブサイトの脆弱性関連情報の届出について、処理状況を図 2-1 に示します。
図 2-1 に示すように、今四半期中に、ウェブサイトの脆弱性の処理が終了したものは 50 件（累計 773 件）でした。このうち、「修正完了」したものは 26 件（累計 655 件）、ウェブサイト運営者により「脆弱性ではない」と判断されたものは 24 件（累計 111 件）でした。なお、メールのほか、電話や郵送手段及びレンタルサーバ会社を通じてなどで、ウェブサイト運営者との連絡を試みながら、回答がなく「取扱い不可能」なものは 0 件（累計 7 件）でした。
取扱いを終了した累計 773 件のうち、「連絡不可能」を除く累計 766 件（99%）は、指摘された点が解消されていることが、ウェブサイト運営者により確認されています。
「修正完了」したもののうち、ウェブサイト運営者からの依頼を受け、当該脆弱性が適切に修正されたかどうか
を IPA が確認したものは 2 件（累計 113 件）、ウェブサイト運営者が当該ページを削除することにより対応したものは 1 件（累計 62 件）、ウェブサイト運営者が運用により被害を回避しているものは 0 件（累計 18 件）でした。
このほか、「不受理」としたものは 3 件（累計 72 件）でした。
（括弧内の数字は、今四半期に「修正完了」、「脆弱性ではない」と判断されたもの等の件数）

取扱い終了：491件
2006年
9月末

63

415

13

128

42

13

142

合計661件

561件
2006年
12月末

71

477

46

合計749件

634件
2007年
3月末

543

78

149

13

62

合計845件

723件
2007年
6月末

87

629

7

773件(50件)
2007年
9月末

69

合計940件
不受理

連絡不可能

修正完了

内確認済
113(2)

148

655(26)

内当該
ページを

内運用
で回避

削除62(1)

18(0)

111
(24)

72
(3)

取扱い中

7
(0)

198

合計
1043件

脆弱性ではない
0

200

400

600

800

1000

図 2-1.ウェブサイト各時点における脆弱性関連情報の届出の処理状況
修正完了確認済
当該ページを削除
運用で回避
脆弱性ではない
連絡不可能： ウェブサイト運営者により脆弱性が修正されたもの： 修正完了のうち、IPA が修正を確認したもの： 修正完了のうち、当該ページを削除して対応したもの： 修正完了のうち、運用により被害を回避しているもの： ウェブサイト運営者により脆弱性はないと判断されたもの： ウェブサイト運営者からの回答がなく、取扱いができないもの

取扱い中
不受理

： ウェブサイト運営者が調査、対応中のもの： 告示で定める届出の対象に該当しないもの

12

1200

2.2 ウェブサイトの脆弱性の種類と脅威届出受付開始から今四半期末までに IPA に届出られたウェブサイトの脆弱性関連情報 1,043 件のうち、不受理のものを除いた 971 件について、種類別内訳を図 2-2 に、種類別の届出件数の推移を図 2-3 に、脅威別内
訳を図 2-4 に示します。
今四半期も「クロスサイト・スクリプティング」が多く届出られ（図 2-3）、脆弱性の種類は「クロスサイト・スクリプテ
ィング」「SQL インジェクション」が全体の 7 割をしめます（図 2-2）。
また「クロスサイト・スクリプティング」や「SQL インジェクション」の脅威である、「本物サイト上への偽情報の表示」「Cookie 情報の漏洩」「データの改ざん、消去」が約 7 割をしめています（図 2-4）。
ウェブサイト運営者は、脆弱性を作りこまないような注意が必要です。

2%

1%

1%

8%

クロスサイト・スクリプティング
SQLインジェクション
ファイルの誤った公開
DNS情報の設定不備
パス名パラメータの未チェック
HTTPレスポンス分割
メールの第三者中継
ディレクトリ・トラバーサル
セッション管理の不備
価格等の改ざんHTTPSの不適切な利用
クロスサイト・リクエスト・フォージェリ
その他

2%
2%
2%
2%

44%
(44%)

3%(3%)
3%(3%)
5%(4%)
27%(26%)（971 件の内訳、グラフの括弧内は前四半期の数字）

図 2-2.ウェブサイトの脆弱性種類別内訳（届出受付開始から 2007 年 9 月末まで）17

120

その他

100

認証に関する不備
フィルタリングの回避
クロスサイト・リクエスト・フォージェリ

80

HTTPSの不適切な利用価格等の改ざんセッション管理の不備

60

ディレクトリ・トラバーサル
メールの第三者中継
HTTPレスポンス分割

40

パス名パラメータ の未チェック
DNS情報の設定不備

20

ファイルの誤った公開
SQLインジェクション
クロスサイト・スクリプティング

0
3Q 4Q
2004

1Q

2Q 3Q
2005

4Q

1Q

2Q 3Q
2006

4Q

1Q 2Q
2007

3Q

図 2-3.ウェブサイトの脆弱性種類別件数の推移（届出受付開始から 2007 年 9 月末まで）18
17

それぞれの脆弱性の詳しい説明については付表 2 を参照してください。

13

2%
本物サイト上への偽情報の表示

1%

データの改ざん、消去

2%
2%
2%
3%
4%
6%(6%)

Cookie情報の漏洩
個人情報の漏洩28%(27%)

サーバ内ファイルの漏洩
なりすまし
ドメイン情報の挿入
ウェブキャッシュ情報のすり替え

10%(10%)

メールシステムの不正利用
踏み台

25%(24%)

利用者のセキュリティレベルの低下

15%(16%)

その他（97１件の内訳、グラフの括弧内は前四半期の数字）

図 2-4.ウェブサイトの脆弱性脅威別内訳（届出受付開始から 2007 年 9 月末まで）

2.3 ウェブサイトの脆弱性の修正状況
届出受付開始から 2007 年 9 月末までの届出の中で、実際にウェブアプリケーションを修正したものについて、
ウェブサイト運営者に脆弱性の詳細情報を通知してから修正されるまでに要した日数およびその傾向を、脆弱性の種類別に図 2-5 および図 2-6 に示します。全体の 54%の届出が 30 日以内、全体の 79%の届出が 90 日以内に修正されています。
90 日以内の修正件数の割合
2007/1Q まで
2007/2Q まで
81%
79%

2007/3Q まで
79%

79%（90日以内の修正）
90

その他 (34件)
パス名パラ メータの未チェ ック(6件)
クロ スサイ ト・リクエスト・フォ ージェ リ (8件)80

HTTPSの不適切な利用 (8件)
メールの第三者中継(9件)
セッショ ン管理の不備(9件)
ディレクトリ・トラ バーサル(10件)
ファ イ ルの誤った公開(14件)70
60

HTTPレスポン ス分割(21件)
DNS情報の設定不備(28件)
SQLイ ン ジェ クショ ン(105件)
クロ スサイ ト・スクリプ ティン グ(305件)

50
40
30
20
10
0
当日

1日

2日

3日

4日
〜5日

6日
〜10日

11日
〜30日

21日
〜30日

31日
〜50日

51日
91日
201日 301日〜〜90日 〜200日 〜300日

図 2-5.ウェブサイトの脆弱性修正に要した日数

14クロスサイト・スクリプティング(305件)
SQLインジェクション(105件)
DNS情報の設定不備(28件)
HTTPレスポンス分割(21件)
ファイルの誤った公開(14件)
ディレクトリ・トラバーサル(10件)
メールの第三者中継(9件)セッション管理の不備(9件)
クロスサイト・リクエスト・フォージェリ(8件)
HTTPSの不適切な利用(8件)
パス名パラメータの未チェック(6件)
他(34件)
合計(557件)
0%〜10日

11日〜20日

10%

21日〜30日

20%
31日〜50日30%

40%

51日〜90日50%
91日〜200日

60%

70%

201日〜300日

図 2-6.ウェブサイトの脆弱性修正に要した日数の傾向

15

80%
301日〜

90%

100%

参考

付表 1. ソフトウェア製品 脆弱性の原因分類
脆弱性の原因説明

届出において想定された脅威
設定情報の漏洩1

アクセス制御の不備

アクセス制御を行うべき個所において、アクセス制
御が欠如している

通信の不正中継
なりすまし
任意のスクリプトの実行
認証情報の漏洩
アクセス制限の回避
価格等の改ざん
サービス不能
資源の枯渇

ウェブアプリケーションに対し、入力された情報の内
2

ウェブアプリケーション 容の解釈や認証情報の取扱い、出力時の処理に問の脆弱性題がある。「クロスサイト・スクリプティング」攻撃や「SQL インジェクション」攻撃などに利用されてしまう

重要情報の漏洩
情報の漏洩
セッション・ハイジャック
通信の不正中継
なりすまし
任意のコマンドの実行
任意のスクリプトの実行
任意のファイルへのアクセス
認証情報の漏洩

RFC 等の公開された規格に準拠して、設計、実装し3

仕様上の不備た結果、問題が生じるもの。プロトコル上の不備がある場合、ここに含まれるサービス不能
資源の枯渇

ウェブブラウザやメールクライアントソフトに証明書
4

証明書の検証に関する を検証する機能が実装されていない、または、検証 証明書の確認不能
不備

が正しく行われずに、偽の証明書を受けいれてしま なりすましう

5

6

セキュリティコンテキストの適用の不備

バッファのチェックの不備

本来、厳しい制限のあるセキュリティコンテキストで取り扱うべき処理を、緩い制限のセキュリティコンテ
キストで処理してしまう

任意のコードの実行想定外の長さの入力が行われた場合に、長さをチェ サービス不能
ックせずバッファに入力してしまう。「バッファオーバ 任意のコードの実行
ーフロー」攻撃に利用されてしまう。
トリ名やファイル名、ファイルの内容をチェックしていファイルのパス名、内容 ない。任意のディレクトリのファイルを指定できてしまのチェックの不備

情報の漏洩
任意のスクリプトの実行処理の際のパラメータとして指定されているディレク

7

アプリケーションの異常終了

い、「ディレクトリ・トラバーサル」攻撃に利用されてしまう。また、破損したファイルや不正に書き換えられたファイルを処理した際に不具合が生じる

16

任意のコマンドの実行
アプリケーションの異常終了
サービス不能
資源の枯渇
任意のファイルへのアクセス
認証情報の漏洩付表 2 ウェブサイト脆弱性の分類
届出において想定された脅威
個人情報の漏洩
一般に公開すべきでないファイルが公開されて サーバ内ファイルの漏洩
おり、自由に閲覧できる状態になっている
データの改ざん、消去
なりすまし
ユーザからの入力を処理する際のパラメータとして指定されているファイル名を、ユーザが変サーバ内ファイルの漏洩
更し、ウェブサーバ上の任意のディレクトリのファイルを指定できてしまう

脆弱性の種類深刻度

説明

1

ファイルの誤った公開高2

パス名パラメータの
未チェック

高

3

ディレクトリ･トラバーサル

高ウェブサーバ上のディレクトリのアクセス権を超
個人情報の漏洩
えて、本来許可されている範囲外のディレクトリ
サーバ内ファイルの漏洩にアクセスできる4

セッション管理の不備

高セッション管理に、推測可能な情報を使用してCookie 情報の漏洩いるため、他のユーザの情報が容易に推測で個人情報の漏洩き、他のユーザになりすまして、サービスを利なりすまし用することができる

5

SQL インジェクション

高

入力フォームなどへ SQL コマンド（データベー 個人情報の漏洩
スへの命令）を入力し、データベース内の情報 サーバ内ファイルの漏洩の閲覧、更新、削除などができる
データの改ざん、消去

6

DNS 情報の設定不備

高

DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名の持ち主であ ドメイン情報の挿入
るかのようにふるまえてしまう中

外部の第三者により、他のサーバへのアクセスを中継するサーバとして利用され、不正アク
踏み台
セスなどの際にアクセス元を隠すための踏み台にされてしまう中

Cookie 情報の漏洩
サーバ内ファイルの漏洩
ユーザの Cookie 情報を知らないうちに転送さ個人情報の漏洩せたり、偽の情報を表示させたりするような罠
データの改ざん、消去のリンクをユーザにクリックさせ、個人情報等をなりすまし盗むことができる
本物サイト上への偽情報の表示

中

ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそかにアクセスさデータの改ざん、消去
せ、登録情報の変更や商品の購入をさせるこ
とができる

中

攻撃者がユーザに対し、悪意のある要求をウェ
ブサーバに送信するように仕向けることで、ウ
ウェブキャッシュ情報のェブサーバからの応答を分割させて応答内容
すり替えをすり替え、ユーザに対して偽のページを表示させることができる

中

ユーザに対し、ソフトウェアをインストールさせたり、ブラウザのセキュリティレベルを下げるよ 利用者のセキュリティレ
う指示することでクライアント PC のセキュリティ ベルの低下
設定を低下させる中

ウェブサーバに設置したリダイレクタが悪意あ踏み台るリンクへの踏み台にされたり、そのウェブサイ
本物サイト上への偽情報
ト上で別のサイト上のページを表示させられて
の表示
しまう

7

オープンプロキシ

8

クロスサイト･
スクリプティング

9

クロスサイト・リクエスト・
フォージェリ

10 HTTP レスポンス分割

セキュリティ設定の11
不適切な変更リダイレクタの不適切な
12
利用

17

脆弱性の種類

深刻度

13 フィルタリングの回避

OS コマンドインジェクシ
14ョン

15 メールの第三者中継

16

HTTPS の不適切な利用届出において想定された脅威説明中

ウェブサイトのサービスやブラウザの機能とし利用者のセキュリティレ
て提供されているフィルタリング機能が回避さベルの低下れる問題。これにより、本来制限されるはずのなりすまし
ウェブページを閲覧してしまう

中

攻撃者がウェブアプリケーションを介してウェブサーバの OS コマンドを実行できてしまい、サ
任意のコマンドの実行
ーバ内ファイルの閲覧やシステム操作、不正なプログラムの実行などを行われてしまう

低利用者が入力した内容を管理者が指定したメールアドレスに送信する機能で、外部の利用 メールシステムの不正利者が宛先メールアドレスを自由に指定できてし 用
まい、迷惑メール送信の踏み台に悪用される

低

HTTPS による暗号化をしているが、暗号の選択や設定が十分でなかったり、ウェブサイトでのユーザへの説明に間違いがある、または、 なりすまし
ウェブサイトの設計上、ユーザから証明書が確認できない

ショッピングサイトにおいて、価格情報等が利用者側で書き換えられる。書き換えによる被害 データの改ざん
は、ウェブサイト側に限定される
・API: Application Program Interface
・RFC: Request For Comments
・CGI: Common Gateway Interface
・SQL: Structured Query Language
・DNS: Domain Name System
・SSI: Server Side Include
・HTTP: Hypertext Transfer Protocol
・SSL: Secure Socket Layer
・HTTPS : Hypertext Transfer Protocol Security
・TCP: Transmission Control Protocol
・ISAKMP : Internet Security Association
・URI: Uniform Resource Identifier
Key Management Protocol
・URL: Uniform Resource Locator・MIME: Multipurpose Internet Mail Extension
17 価格等の改ざん

低

付図１．「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み）
脆弱性関連情報流通体制

ユーザ
ユーザー
脆弱性関連
情報届出

ソフトウェア
製品の脆弱性

脆弱性関連
情報通知

脆弱性関連情報の報告された脆弱性
内容確認・検証
関連情報の内容確認

発見者
W e b サイトの脆弱性

受付・分析機関
受付機関
報告された

調整機関

ソフト
開発者等

対応状況等
対応状況
対策方法等
公表公表

システム導入
支援者等

政府
企業
個人

セキュリティ対策推進協議会等

分析機関【期待効果】

脆弱性対策情報ポータル

公表日の決定、
海外の調整機関との連携等

分析支援機関脆弱性関連
情報届出

対策情報ポータル

対応状況の集約、
公表日の調整等

産総研など報告された脆弱性
脆弱性関連情報通知
脆弱性関連情報通知
関連情報の検証W e b サイト運営者

Webサイト運営者
検証、対策実施
検証、対策実施

個人情報の漏えい時は事実関係を公表
個人情報漏洩時は事実関係を公表①製品開発者及びウェブサイト運営者による脆弱性対策を促進②不用意な脆弱性関連情報の公表や脆弱性の放置を抑制③個人情報等重要情報の流出や重要システムの停止を予防※IPA：独立行政法人 情報処理推進機構、JPCERT/CC：有限責任中間法人 JPCERT コーディネーションセンター、産総研：独立行政法人 産業技術総合研究所

18