Japan Computer Emergency
Response Team Coordination
Center

電子署名者 : Japan Computer Emergency
Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku,
email=office@jpcert.or.jp, o=Japan Computer
Emergency Response Team Coordination
Center, cn=Japan Computer Emergency
Response Team Coordination Center
日付 : 2015.07.23 11:09:46 +09'00'

ソフトウェア等の脆弱性関連情報の取扱いに関する活動報告レポート[2015 年第 2 四半期（4 月～6 月）]
ソフトウェア等の脆弱性関連情報の取扱いに関する活動報告レポートについて
日本における公的な脆弱性関連情報の取扱制度である「情報セキュリティ早期警戒
パートナーシップ（本報告書では本制度と記します）」は、「ソフトウエア等脆弱性関連情報取扱基準（2004 年経済産業省告示第 235 号改め、2014 年経済産業省告示第 110号）」に基づき、2004 年 7 月より運用されています。本制度において、独立行政法
人情報処理推進機構（以下、IPA）と一般社団法人 JPCERT コーディネーションセ
ンター（以下、JPCERT/CC）は、脆弱性関連情報の届出の受付や脆弱性対策情報の公表に向けた調整などの業務を実施しています。
本報告書では、2015 年 4 月 1 日から 2015 年 6 月 30 日までの間に実施した、脆弱性関連情報の取扱いに関する活動及び脆弱性の傾向について記載しています。

独立行政法人情報処理推進機構 技術本部 セキュリティセンター
一般社団法人 JPCERT コーディネーションセンター
2015 年 7 月 23 日

目次
1. 2015 年第 2 四半期

ソフトウェア等の脆弱性関連情報に関する届出受付状況 ........... 1

1-1. 脆弱性関連情報の届出受付状況 ........................................................................................... 1
1-2. 脆弱性の修正完了状況.......................................................................................................... 2
1-3. 連絡不能案件の取扱状況 ...................................................................................................... 2
1-4. 脆弱性の傾向について.......................................................................................................... 3
2. ソフトウェア等の脆弱性に関する取扱状況（詳細） ................................. 5
2-1. ソフトウェア製品の脆弱性 .................................................................................................. 5
2-1-1. 処理状況......................................................................................................................... 5
2-1-2. ソフトウェア製品種類別届出件数 ................................................................................ 6
2-1-3. 脆弱性の原因と影響別件数 ........................................................................................... 7
2-1-4. 調整および公表件数 ...................................................................................................... 8
2-1-5. 連絡不能案件の処理状況 ............................................................................................. 15
2-2. ウェブサイトの脆弱性........................................................................................................ 16
2-2-1. 処理状況....................................................................................................................... 16
2-2-2. 運営主体の種類別の届出件数...................................................................................... 17
2-2-3. 脆弱性の種類・影響別届出 ......................................................................................... 17
2-2-4. 修正完了状況 ............................................................................................................... 18
2-2-5. 取扱中の状況 ............................................................................................................... 20
3. 関係者への要望 ...............................................................21
3-1. ウェブサイト運営者 ........................................................................................................... 21
3-2. 製品開発者 .......................................................................................................................... 21
3-3. 一般のインターネットユーザー ......................................................................................... 21
3-4. 発見者 ................................................................................................................................. 21
付表 1. ソフトウェア製品の脆弱性の原因分類 ........................................22
付表 2. ウェブサイトの脆弱性の分類 ................................................23
付図１．
「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報の取扱制度） .....24

1. 2015 年第 2 四半期 ソフトウェア等の脆弱性関連情報に関する届出受付状況
1-1. 脆弱性関連情報の届出受付状況～ 脆弱性の届出件数の累計は 11,062 件 ～表 1-1 は本制度（*1）における届出状況について

表 1-1．届出件数です。2015 年第 2 四半期の脆弱性関連情報（以分類

降「脆弱性」）の届出件数、および届出受付開始

ソフトウェア製品

88 件

2,123 件（2004 年 7 月 8 日）から今四半期までの累計をウェブサイト75 件

8,939 件

163 件

11,062 件

示しています。今期のソフトウェア製品に関す

今期件数

合計

累計

る届出件数は 88 件、ウェブサイト（ウェブアプ
リケーション）に関する届出は 75 件、合計 163 件でした。届出受付開始からの累計は 11,062 件
で、内訳はソフトウェア製品に関するもの 2,123 件、ウェブサイトに関するもの 8,939 件でウェブサイトに関する届出が全体の約 8 割を占めています。
図 1-1 のグラフは過去 3 年間の届出件数の四半期ごとの推移を示したものです。今四半期は、
ソフトウェア製品に関する届出が前四半期とほぼ同じ件数、ウェブサイトに関する届出が前四半期の約 5 割に減少しました。表 1-2 は過去 3 年間の四半期ごとの届出の累計および 1 就業日あたりの届出件数の推移です。今四半期の 1 就業日あたりの届出件数は 4.13（*2）件でした。
ソフトウェア製品
ソフトウェア製品（累計）

四半期件数

400件
300件

6,525 6,701 6,914 7,099

ウェブサイトウェブサイト（累計）7,366 7,585

累計件数

8,703
7,730 8,018 8,311

8,864 8,939

200件
100件
0件

1,423 1,467 1,521 1,568 1,660
41 155 44 176 54

3Q
2012

4Q

213

1Q
2013

47

185 92 267

2Q

3Q

1,740 1,785 1,825 1,864 1,949 2,035
80

219 45 145

4Q

1Q
2014

40

2,123

288 39 293 85 392 86 161 88 75

2Q

3Q

4Q

1Q
2015

2Q

10,000件
9,000件
8,000件
7,000件6,000件
5,000件
4,000件
3,000件
2,000件
1,000件
0件

図1-1．脆弱性の届出件数の四半期ごとの推移

表 1-2．届出件数（過去 3 年間）
2012
3Q
累計届出件数[件]
１就業日あたり[件/日]

4Q

2013
1Q

2Q

3Q

4Q

2014
1Q

2Q

3Q

4Q

2015
1Q

2Q

7,948 8,168

8,435 8,667 9,026 9,325 9,515 9,843 10,175 10,652 10,899 11,062

3.98

3.96

3.78

3.96

4.00

（ *1）

4.03

4.01

4.04

4.07

4.17

情報セキュリティ早期警戒パートナーシップガイドライン
https://www.ipa.go.jp/security/ciadr/partnership_guide.html
https://www.jpcert.or.jp/vh/index.html（ *2）
1 就業日あたりの届出件数は、「累計届出件数」/「届出受付開始からの就業日数」にて算出

1

９
4.17

4.13

1-2. 脆弱性の修正完了状況～ ソフトウェア製品およびウェブサイトの修正件数は累計 7,394 件～
表 1-3 は今四半期、および届出受付開始から今四半期までのソフトウェア製品とウェブサイトの修正

表 1-3．修正完了（JVN 公表）
分類

今期件数

完了件数を示しています。ソフトウェア製品の場合、 ソフトウェア製品
修正が完了すると JVN に公表しています（回避策のウェブサイト

公表のみでプログラムの修正をしていない場合を含

合計

累計

42 件

1,042 件

158 件

6,352 件

200 件

7,394 件む）。
今四半期に JVN 公表したソフトウェア製品の件数は 42 件（*3）（累計 1,042 件）でした。そのうち、1 件は製品開発者による自社製品の脆弱性の届出でした。また、届出を受理してから JVN 公
表までの日数が 45 日（*4）以内だったのは 6 件（14%）でした。
また、修正完了したウェブサイトの件数は 158 件（累計 6,352 件）でした。これらは届出を受け、IPA がウェブサイト運営者に通知を行い、今四半期に修正を完了したものです。修正を完了した 158 件のうち、ウェブアプリケーションを修正したものは 114 件（72%）、当該ページを削除したものは 44 件（28%）
、運用で回避したものは 0 件でした。なお、修正を完了した 158 件のうち、ウェブサイト運営者へ脆弱関連情報を通知してから 90 日（*5）以内に修正が完了したのは76 件（48%）でした。今四半期は、90 日以内に修正完了した割合が、前四半期（253 件中 202件（80%））より減少しています。

1-3. 連絡不能案件の取扱状況
本制度では、連絡が取れない製品開発者を「連絡不能開発者」と呼び、連絡の糸口を得るため、当該製品開発者名等を公表して情報提供を求めています（*6）。製品開発者名を公表後、3 ヵ月経過
しても製品開発者から応答が得られない場合は、製品情報（対象製品の具体的な名称およびバージョン）を公表します。それでも応答が得られない場合は、情報提供の期限を追記します。情報
提供の期限までに製品開発者から応答がない場合は、当該脆弱性情報の公表に向け、「情報セキュ
リティ早期警戒パートナーシップガイドライン」に定められた条件を満たしているかを公表判定委員会（*7）で審議します。公表が適当と判定された脆弱性情報は JVN に公表されます。
今四半期は、11 件について製品開発者と連絡が取れたため調整を再開しました。また、新たに連絡が取れない製品開発者名を 20 件公表しました。
2015 年 6 月末時点の連絡不能開発者の累計公表件数は 205 件、その内製品情報を公表しているものは 167 件となりました。また、2015 年 5 月に第 2 回目の公表判定委員会を開催し、2 件の脆弱性情報について審議しました。

（ *3）

P.9 表 2-3 参照
JVN 公表日の目安は、脆弱性の取扱いを開始した日時から起算して 45 日後としています。
（ *5）
対処の目安は、ウェブサイト運営者が脆弱性の通知を受けてから、3 ヶ月以内としています。
（ *6）
連絡不能開発者一覧：https://jvn.jp/reply/index.html（ *7）
連絡不能案件の脆弱性情報を公表するか否かを判定するために IPA が組織する。法律、情報セキュリティ、
当該ソフトウェア製品分野の専門的な知識や経験を有する専門家、かつ、当該案件と利害関係のない者で構
成される。
（ *4）

2

1-4. 脆弱性の傾向について
遠隔操作されてしまう可能性のある脆弱性に注意～システムに深刻な影響を及ぼす可能性のある脆弱性には迅速な対応を～2015 年第 2 四半期は、42 件の脆弱性対策情報が JVN に公表されました。そのうち攻撃者に遠隔操作される可能性がある脆弱性は 12 件で、28.6%を占めました（表 1-4）。これらは、PC で利用するソフトウェア製品やサーバで利用されるソフトウェア製品に大別されます。
表 1-4．今期 JVN 公表された脆弱性のうち、遠隔操作の可能性があるソフトウェア一覧
PC で利用するソフトウェア製品
JVN
公表日

JVN 番号

2015/4/2

JVN#58784309

2015/4/9

JVN#12329472

2015/5/19

JVN#78689801

2015/5/22

JVN#93976566

2015/6/5

JVN#50447904

2015/6/12

JVN#18146081

脆弱性「秀丸エディタ」におけるバッファオーバーフローの脆弱性「Lhaplus」において任意のコードを実行される脆弱性「BGA32.DLL」および「QBga32.DLL」における複数の脆弱性「SXF 共通ライブラリ」におけるバッファオーバー
フローの脆弱性
バッファロー製の複数の無線 LAN ルータにおける OS
コマンド・インジェクションの脆弱性「Microsoft Windows」の LoadLibrary 関数における入力を適切に検証しない脆弱性

注意喚起
の有無

深刻度
(CVSS 基本値)〇

Ⅱ(6.8)〇

Ⅱ(6.8)
Ⅱ(6.8)〇

Ⅱ(6.8)
Ⅱ(5.2)
Ⅲ(7.6)

サーバで利用されるソフトウェア製品
JVN
公表日

JVN 番号

2015/4/14

JVN#56297719

2015/5/1

JVN#67520407

2015/5/20

JVN#64459670

2015/6/9

JVN#05559185

2015/6/12

JVN#24336273

2015/6/23

JVN#19578958

脆弱性「JBoss RichFaces」において任意の Java コードが実行される脆弱性「EasyCTF」における任意のファイルを作成される脆弱性「mt-phpincgi」において任意の PHP コードが実行可能な脆弱性「MilkyStep」における OS コマンド・インジェクショ
ンの脆弱性「BloBee」における任意のファイルを作成される脆弱性「Symfony」におけるコード・インジェクションの脆弱
性

注意喚起
の有無

深刻度
(CVSS 基本値)〇

Ⅲ(7.5)
Ⅱ(6.5)〇

Ⅲ(7.5)〇

Ⅲ(7.5)
Ⅲ(7.5)〇

Ⅱ(6.8)CVSS 基本値：脆弱性の深刻度を表す指標（0.0～10.0）

表 1-4 のような遠隔操作されてしまう可能性のある脆弱性を放置しておくと、PC やサーバそのものが乗っ取られてしまう可能性があります（図 1-2）。また、乗っ取られてしまうと、サーバの停止・データ改ざん、個人情報の窃取などの被害の懸念があります。
なお、IPA ではソフトウェア製品の普及度合いと脆弱性の深刻度等、複数の条件を勘案し、攻撃の発生が懸念される場合に適宜、注意喚起を発信しています。
表 1-4 の 12 件の脆弱性において、注意喚起と判断されたものは 7 件でした。

3

PCで利用する文書作成ソフトウェアの脆弱性を狙った攻撃例

攻撃者の動作

サーバで利用するソフトウェアの脆弱性を狙った攻撃例

図 1-2. 脆弱性が悪用（情報窃取）される一例
利用者の多いソフトウェア製品に脆弱性が見つかったり、見つかった脆弱性が特定の業種で汎用的に利用されていたりする場合などは、攻撃の標的にされる可能性があります。加えて、脆弱性を悪用するプログラムや攻撃の手法がインターネット上に公開されてしまうと、攻撃が多発する場合があります。そのため、利用しているソフトウェア製品の脆弱性対策等が公開されたら、即座の対応が必要です。ただし、サーバに組込まれているソフトウェア製品の場合は修正によって不具合が生じる可能性があります。事前にサーバへの影響を確認し、対策の実施の判断を行ってください。不具合等を確認した場合は、代替策を検討してください。

4

2. ソフトウェア等の脆弱性に関する取扱状況（詳細）2-1. ソフトウェア製品の脆弱性
2-1-1. 処理状況
図 2-1 のグラフはソフトウェア製品の脆弱性届出の処理状況について、四半期ごとの推移を示しています。2015 年 6 月末時点の届出の累計は 2,123 件で、今四半期に脆弱性対策情報を JVN
公表したものは 42 件（累計 1,042 件）でした。また、製品開発者が JVN 公表を行わず「個別対応」したものは 0 件（累計 33 件）、製品開発者が「脆弱性ではない」と判断したものは 2 件（累計 77 件）、「不受理」としたものは 8 件（*8）（累計 287 件）、取扱い中は 684 件でした。684 件のうち、連絡不能開発者（*9）一覧へ新規に公表したものは 20 件で、2015 年 6 月末時点で 169 件が公表中です。
657
1,235
2014年
6月末

[56%]

880

28 73

590

254

連絡不能開発者 144

合計 1,825

699
1,288
2014年
9月末

29 74

925 [58%]260

576
連絡不能開発者 151

合計 1,864

734
1,339
2014年
12月末

[57%]

959

33 75

272

610
連絡不能開発者 163

合計 1,949

1,387
771
2015年
3月末

1,000 [57%]

33 75

279

648
連絡不能開発者 160

合計 2,035

取扱い終了811
1,439(52)
取扱い終了
(40)
77 不受理(2) 287 (8)個別対応 33(0) 脆弱性ではない

公表済み 1,042 [57%]

2015年
6月末

(42)

0

200

400

600

800

取扱い中 684
連絡不能開発者 169(20)

合計 2,123

1,000 1,200 1,400 1,600 1,800 2,000 2,200（ ）内の数値は今四半期に処理を終了もしくは連絡不能開発者となった件数［ ］内の数値は受理した届出のうち公表した割合

取扱い終了

公表済み

：JVN で脆弱性への対応状況を公表したもの

個別対応：JVN 公表を行わず、製品開発者が個別対応したもの

脆弱性ではない：製品開発者により脆弱性ではないと判断されたもの

不受理：告示で定める届出の対象に該当しないもの

取扱い中：製品開発者が調査、対応中のもの

連絡不能開発者：取扱い中のうち、連絡不能開発者一覧にて公表中のもの

図 2-1. ソフトウェア製品脆弱性の届出処理状況（四半期ごとの推移）（ *8）

内訳は今四半期の届出によるもの 3 件、前四半期までの届出によるもの 5 件。
連絡不能開発者一覧への公表および一覧からの削除が複数回行われた製品開発者の公表回数は、その累計を計上しています。

（ *9）5以下に、今までに届出のあったソフトウェア製品の脆弱性 2,123 件のうち、不受理を除いた
1,836 件の届出を分析した結果を記載します。
2-1-2. ソフトウェア製品種類別届出件数
図 2-2、2-3 のグラフは、届出された脆弱性の製品種類別の分類です。図 2-2 は製品種類別割合を、図 2-3 は過去 2 年間の届出件数の推移を四半期ごとに示したものです。
累計では、「ウェブアプリケーションソフト」が最も多く 39%となっています。今四半期の届出件数で最も多いのも「ウェブアプリケーションソフト」で、次いで届出件数が多いのは、前四半期で新設した分類の「スマートフォン向けアプリ」となっています。
ソフトウェア製品の製品種類別の届出状況
ウェブアプリケーションソフト
スマートフォン向けアプリ
アプリケーション開発・実行環境
ルータ
ウェブブラウザ
グループウェア
OS
メールソフトシステム管理ソフト
ファイル管理ソフト
アンチウイルスソフト
その他

90件
80件

70件

39%
(39%)

14%
2%
2%
2%
2%
3%

60件
50件
40件
30件

6%

20件

6%
(7%)

10件

6%
(6%)

7%
(6%)

11%
(11%) 3Q 4Q
2013※その他には、データベース、携帯機器などがあります。
( 1,836件の内訳、グラフの括弧内は前四半期までの数字)

0件
1Q 2Q
2014

3Q

4Q

1Q 2Q
2015

( 過去2年間の届出内訳)

図2-3．四半期ごとの製品種類別届出件数

図2-2．届出累計の製品種類別割合

図 2-4、2-5 のグラフは、届出された製品のライセンスを「オープンソースソフトウェア」（OSS）と「それ以外」で分類しています。図 2-4 は届出累計の分類割合を、図 2-5 は過去 2 年間の届出件数の推移を四半期ごとに示したものです。
累計の割合は、オープンソースソフトウェアが 32%に過ぎませんが、四半期別でみると、今四
半期は 44 件と過半数を占めています。これは、同一のソフトウェア製品に複数の脆弱性が届出されたためです。
オープンソースソフトウェアの脆弱性の届出状況
オープンソースソフトウェア
2

それ以外

12

9

32%
(31%)

76

64

34 44

7
32

68%
(69%)

図2-4．届出累計のオープンソースソフトウェア割合

6

46 41

9
23 17

3Q 4Q 1Q 2Q
2013
2014
（1,836件の内訳、グラフの括弧内は前四半期までの数字）

65

13

3Q

4Q

90件
80件
70件
60件
50件
40件
30件
20件
10件
0件

1Q 2Q
2015

(過去2年間の届出内訳)

図2-5．四半期ごとのオープンソースソフトウェア
届出件数(四半期別推移)

2-1-3. 脆弱性の原因と影響別件数
図 2-6、2-7 のグラフは、届出された脆弱性の原因を示しています。図 2-6 は届出累計の脆弱性の原因別割合を、図 2-7 は過去 2 年間の原因別の届出件数の推移を四半期ごとに示しています。
累計では、「ウェブアプリケーションの脆弱性」が過半数を占めています。

ソフトウェア製品の脆弱性の原因別の届出状況
ウェブアプリケーションの脆弱性
ファイルのパス名、内容のチェックの不備
バッファのチェックの不備
仕様上の不備アクセス制御の不備証明書の検証に関する不備
その他実装上の不備 （※）
その他ウェブに関連する不備※その他実装上の不備には、
コードインジェクションや認証不備などがあります。

90件
80件
70件

3%
23%

60件

53%
(52%)

50件
40件
30件
20件

2%
3% (3%)
4% (4%)
4% (5%)

10件
0件
3Q 4Q 1Q 2Q
2013
2014

8% (8%)

3Q

4Q

1Q 2Q
2015

(過去2年間の届出内訳)(1,836件の内訳、グラフの括弧内は前四半期までの数字)

図2-6．届出累計の脆弱性の原因別割合

図2-7．四半期ごとの脆弱性の原因別届出件数

図 2-8、2-9 のグラフは、届出された脆弱性がもたらす影響を示しています。図 2-8 は届出累計の影響別割合を、
図 2-9 は過去 2 年間の影響別届出件数の推移を四半期ごとに示しています。
累計では「任意のスクリプトの実行」が最も多く、次いで「情報の漏洩」となっています。今四半期は、「任意のスクリプトの実行」が最も多く、次いで多かったのは「その他」でした。
なお、2013 年第 3、第 4 四半期に「その他」が多いのは、「ファイルのパス名、内容のチェッ
クの不備」によりもたらされる影響を「その他」に分類したためです。

ソフトウェア製品の脆弱性がもたらす影響別の届出状況
任意のスクリプトの実行

90件

情報の漏洩

80件

任意のコードの実行

13%

サービス不能任意のファイルへのアクセス
任意のコマンドの実行

アクセス制限の回避
データベースの不正操作
その他

70件

36%
(36%)

なりすまし

60件

3%
3%
4%

50件

5%

20件

7%
(7%)

10件

40件

30件

0件

8%
(7%)

13%
8%
(9%) (13%)(1,836件の内訳、グラフの括弧内は前四半期までの数字)

図2-8．届出累計の脆弱性がもたらす影響別割合

3Q 4Q 1Q 2Q
2013
2014

3Q

4Q

1Q 2Q
2015

(過去2年間の届出内訳)

図2-9．四半期ごとの脆弱性がもたらす影響別
届出件数(四半期別推移)7

2-1-4. 調整および公表件数
JPCERT/CC は、本制度に届け出られた脆弱性情報のほか、海外の製品開発者や CSIRT などか
らも脆弱性情報の提供を受けて、国内外の関係者と脆弱性対策情報の公表に向けた調整を行っています（*10）。これらの脆弱性に対する製品開発者の対応状況は、IPA と JPCERT/CC が共同運営している脆弱性対策情報ポータルサイト JVN（Japan Vulnerability Notes）（URL：https://jvn.jp/ ）に公表しています。表 2-1、図 2-10 のグラフは、公表件数を情報提供元別に集計し、今四半期の公表件数、過去 3 年分の四半期ごとの公表件数の推移等を示したものです。
表 2-1．脆弱性の提供元別 脆弱性公表件数

情報提供元
今期件数
累計
国内外の発見者からの届出、製品開発者から自社製品の届出を受け①
42 件 1,042 件
JVN で公表した脆弱性② 海外 CSIRT 等から脆弱性情報の提供を受け JVN で公表した脆弱性
33 件 1,238 件
合計75 件 2,280 件
国内外の発見者からの届出
国内外の発見者からの届出(累計)

四半期件数

80件
70件
60件
50件
40件
30件
20件
10件
0件

874

831

1,138 1,169
925

累計件数

1,205 1,238

1,200件
1,000件

1,000 1,042

959

800件
600件
400件

28 39 25 43 30 34 37 37 26 28 34 35
3Q
2012

（1）

880

851

819

785

759

722

692

667

1,100
1,008 1,061

973

945

908

海外のCSIRTからの連絡
海外のCSIRTからの連絡（累計）

4Q

1Q
2013

2Q

3Q

4Q

32

200件

53 29 39 45 38 34 31 41 36 42 33

0件
1Q
2014

2Q

3Q

4Q

1Q
2015

2Q

図2-10．ソフトウェア製品の脆弱性対策情報の公表件数

JVN で公表するまでに要した日数で分類した“国内外の発見者および製品開発者から届出を受けた”した脆弱性
届出受付開始から今四半期までに対策情報を JVN 公表した脆弱性（1,042 件）について、図 2-11
は受理してから JVN 公表するまでに要した日数を示したものです。45 日以内は 31%、45 日を超過した件数は 69%でした。表 2-2 は過去 3 年間において 45 日以内に JVN 公表した件数の割合推移を四半期ごとに示したものです。製品開発者は脆弱性が悪用された場合の影響を認識し、迅速な対策を講じる必要があります。
31% (45日以内の公表)

全体（1,042件)

93件

76件

72件

87件

212件

0～
10日

11～
20日

21～
30日

31～45日46～100日

10%

20%

30%

0%
0日～10日

11日～20日

21日～30日

40%

142件

50%

31日～45日

63件

101～200日

60%

46日～100日

297件
201～
300日

70%

301日～

80%

101日～200日

90%

100%

201日～300日

301日～

図2-11．ソフトウェア製品の脆弱性公表日数

表 2-2．45 日以内に JVN 公表した件数の割合推移（四半期ごと）
2012
3Q

4Q

2013
1Q

2Q

3Q

4Q

2014
1Q

2Q

3Q

4Q

2015
1Q

2Q

35%

34%

33%

33%

33%

34%

34%

34%

33%

33%

32%

31%

（ *10）JPCERT/CC 活動概要 Page14～20（https://www.jpcert.or.jp/pr/2015/PR20150714.pdf）を参照下さい。

8

表 2-3 は国内の発見者および製品開発者から受けた届出 42 件について、今四半期に JVN 公表した脆弱性を深刻度が高いものから順に示しています。オープンソースソフトウェアに関する脆弱性が 14 件（表 2-3 の*1）、製品開発者自身から届けられた自社製品の脆弱性が 1 件（表 2-3 の*2）、組込みソフトウェア製品の脆弱性が 1 件（表 2-3 の*3）ありました。
表 2-3．2015 年第 2 四半期に JVN で公表した脆弱性
項番脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値

脆弱性の深刻度=レベル III（危険）、CVSS 基本値=7.0～10.0「JBoss RichFaces」において任 ウェブアプリケーションフレームワーク
意の Java コードが実行される脆 「JBoss RichFaces」には、入力値の処理に問 2015 年
1
弱性
題がありました。このため、第三者により任意 4 月 14（*1）
の Java コードが実行される可能性がありまし 日
た。

7.5

2

「mt-phpincgi」において任意の ovable Type のテンプレート「mt-phpincgi」に2015 年
PHP コードが実行可能な脆弱性 は、任意の PHP コードが実行可能な脆弱性が
5 月 20
ありました。このため、第三者により任意の日
PHP コードが実行される可能性がありました。

7.5

3「MilkyStep」における OS コマ メールマガジン配信 CGI「MilkyStep」には、ンド・インジェクションの脆弱性 OS コマンド・インジェクションの脆弱性があ2015 年りました。このため、第三者によりサーバ上で6月9日
任意のコマンドを実行される可能性がありま
した。

7.5

4

「MilkyStep」における SQL イン メールマガジン配信 CGI「MilkyStep」には、ジェクションの脆弱性
SQL 文を組み立てる処理に問題がありました。 2015 年
このため、第三者により任意の SQL 命令を実 6 月 9 日
行される可能性がありました。

7.5

5「BloBee」における任意のファイ 掲示板ソフト「BloBee」には、任意のファイル
ルを作成される脆弱性を作成される脆弱性がありました。このため、 2015 年
第三者によって、サーバ上に任意のファイルを 6 月 12作成される可能性があり、結果として任意のコ 日ードを実行される可能性がありました。

7.5

6「Microsoft Windows」のオペレーティングシステム「Microsoft WinLoadLibrary 関数における入力を dows」には、LoadLibrary 関数における入力を 2015 年
適切に検証しない脆弱性
適切に検証しない脆弱性がありました。このた 6 月 12め、第三者により任意のコードを実行される可 日能性がありました。

7.6

脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.0～6.9

7「秀丸エディタ」におけるバッフ テキストエディタ「秀丸エディタ」にァオーバーフローの脆弱性
は、.hmbook ファイルの処理に問題がありまし2015 年た。このため、細工された.hmbook ファイルを4月2日処理することで、第三者により任意のコードを実行される可能性がありました。

6.8

8

Android 版アプリ「レストランカ Android 用ソフト「レストランカラオケ・シダ
ラオケ・シダックス」における ックス」には、SSL サーバ証明書の検証不備の2015 年
SSL サーバ証明書の検証不備の 脆弱性が存在しました。このため、中間者攻撃
4月3日
脆弱性による暗号通信の盗聴などが行なわれる可能性がありました。

4.0

9

項番

脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値「Lhaplus」において任意のコー ファイル圧縮ソフト「Lhaplus」には、ファイドを実行される脆弱性
ルの展開処理に問題がありました。このため、 2015 年
第三者により任意のコードを実行される脆弱4月9日
性がありました。

6.8「S2Struts」の Validator に入力値 ウェブアプリケーションフレームワーク「S2Struts」には、入力値検査回避の脆弱性が 2015 年
10 検査回避の脆弱性（*1）
存在していました。このため、想定外のデータ 4 月 10（*2）
がデータベースに登録されるなどの可能性が日ありました。

4.3「TransmitMail」におけるクロス メールフォーム「TransmitMail」には、ウェブ
2015 年
11 サイト・スクリプティングの脆弱 ページを出力する際の処理に問題がありまし4 月 23（*1） 性た。このため、第三者によりウェブページにス日
クリプトを埋め込まれる可能性がありました。

4.3「TransmitMail」におけるディレ メールフォーム「TransmitMail」には、ディレ2015 年
クトリ・トラバーサルの脆弱性がありました。
12 クトリトラバーサルの脆弱性
4 月 23（*1）
このため、第三者によりサーバ上の任意のファ日イルを取得される可能性がありました。

5.0

13

「EasyCTF」における任意のファ CTF(Capture The Flag)のスコアサーバ CGI
イルを作成される脆弱性「EasyCTF」には、任意のファイルを作成される脆弱性がありました。このため、第三者によ 2015 年って、サーバ上に任意のファイルを作成される 5 月 1 日
可能性があり、結果として任意のコードを実行される可能性がありました。

6.5

14

「EasyCTF」におけるセッション CTF(Capture The Flag)のスコアサーバ CGI
管理不備の脆弱性「EasyCTF」には、セッション管理不備の脆弱 2015 年
性がありました。このため、任意のユーザにな 5 月 1 日
りすまされる可能性がありました。

6.5

15

「メールディーラー」におけるク ウェブメールソフト「メールディーラー」には、ロスサイトスクリプティングの ウェブページを出力する際の処理に問題があ2015 年
脆弱性りました。このため、第三者によりウェブペー 5 月 12
ジにスクリプトを埋め込まれる可能性があり
日
ました。

5.0

「Cacti」における SQL インジェ ネットワーク管理ソフト「Cacti」には、SQL
2015 年
文を組み立てる処理に問題がありました。この
16 クションの脆弱性
5 月 14（*1）
ため、第三者により任意の SQL 命令を実行さ日れる可能性がありました。

6.5

17

Android 用「Honda Moto LINC」 Android 用ソフト「Honda Moto LINC」には、における SSL/TLS サーバ証明書 SSL/TLS サーバ証明書の検証不備の脆弱性が 2015 年の検証不備の脆弱性存在しました。このため、中間者攻撃による暗 5 月 15号通信の盗聴などが行われる可能性がありま
日
した。

4.0

18

「BGA32.DLL」およびファイルを圧縮・展開するためのライブラリ「QBga32.DLL」における複数の 「BGA32.DLL」および「QBga32.DLL」には、 2015 年
脆弱性
バッファオーバーフローを含む複数の脆弱性
5 月 19が存在しました。このため、第三者によりコー 日ド実行などが行われる可能性がありました。

6.8

19

「SXF 共通ライブラリ」におけ SXF 形式のファイルを入出力するためのライるバッファオーバーフローの脆 ブラリ「SXF 共通ライブラリ」には、バッファ 2015 年
弱性オーバーフローの脆弱性が存在しました。この 5 月 22
ため、第三者により任意のコードが実行される 日可能性がありました。

6.8

9

10

項番

脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値「Apache Sling」の「Sling API コ 「Apache Sling」に含まれている「API コンポ
ンポーネント」および「Servlets ーネント」および「Servlets Post コンポーネン
2015 年
20 Post コンポーネント」における ト」には、ウェブページを出力する際の処理に
5 月 27（*1） クロスサイト・スクリプティング 問題がありました。このため、第三者によりウ
日の脆弱性ェブページにスクリプトを埋め込まれる可能性がありました。

4.3「Zenphoto」におけるクロスサイ コンテンツ管理システム「Zenphoto」には、ウト・スクリプティングの脆弱性 ェブページを出力する際の処理に問題があり
2015 年21ました。このため、第三者によりウェブページ 5 月 28（*1）
にスクリプトを埋め込まれる可能性がありま
日
した。

4.3

「ZenPhoto20」におけるクロス コンテンツ管理システム「Zenphoto20」には、サイト・スクリプティングの脆弱 ウェブページを出力する際の処理に問題があ2015 年
22
性りました。このため、第三者によりウェブペー 5 月 28（*1）
ジにスクリプトを埋め込まれる可能性があり
日
ました。

4.3

23

Android 版アプリ「エクスプロー Android 用ファイル管理ソフト「エクスプロー
ラを開きベータ」におけるディレ ラを開きベータ」には、ディレクトリ・トラバ
クトリ・トラバーサルの脆弱性 ーサルの脆弱性がありました。このため、第三 2015 年
者によりファイルを作成されたり既存のファ
6月3日
イルを上書きされたりする可能性がありまし
た。

4.3

24

F21 製「JWT」におけるトークン JSON Web Token の PHP ライブラリであるの署名検証回避の脆弱性
F21 製「JWT」には、トークンの署名の検証を回避される脆弱性が存在しました。このため、 2015 年
第三者によって細工されたデータを、正しく署 6 月 3 日
名されたトークンとして扱ってしまう可能性がありました。

5.0

25「NetFlow Analyzer」におけるク ネットワークトラフィック解析ソフト
ロスサイト・スクリプティングの 「NetFlow Analyzer」には、クロスサイト・ス
2015 年
脆弱性
クリプティングの脆弱性が存在しました。この
6月5日
ため、第三者によりウェブページにスクリプトを埋め込まれる可能性がありました。

4.3

26

「NetFlow Analyzer」におけるア ネットワークトラフィック解析ソフト
クセス制限不備の脆弱性「NetFlow Analyzer」には、アクセス制限不備
2015 年の脆弱性が存在しました。このため、第三者に6月5日より、パスワードを変更されたりユーザアカウ
ントを削除される可能性がありました。

5.0

27

「NetFlow Analyzer」におけるク ネットワークトラフィック解析ソフト
ロスサイト・リクエスト・フォー 「NetFlow Analyzer」には、クロスサイト・リ
2015 年
ジェリの脆弱性
クエスト・フォージェリの脆弱性が存在しまし6月5日
た。このため、第三者により意図しない操作をさせられる可能性がありました。

4.0

バッファロー製の複数の無線
28 LAN ルータにおける OS コマン（*3） ド・インジェクションの脆弱性

29

バッファロー製の複数の無線 LAN に OS コマン
ド・インジェクションの脆弱性がありました。 2015 年
このため、第三者により任意のコマンドを実行 6 月 5 日される可能性がありました。

5.2「MilkyStep」におけるアクセス メールマガジン配信 CGI「MilkyStep」には、ア
制限不備の脆弱性
クセス制限不備の脆弱性が存在しました。この 2015 年
ため、第三者により当該製品が管理しているフ 6 月 9 日
ァイルを取得される可能性がありました。

5.0

11

項番

脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値30「MilkyStep」におけるクロスサ メールマガジン配信 CGI「MilkyStep」には、クイト・リクエスト・フォージェリ ロスサイト・リクエスト・フォージェリの脆弱 2015 年の脆弱性性がありました。このため、第三者により意図 6 月 9 日
しない操作をさせられる可能性がありました。

5.0

31

「MilkyStep」におけるアクセス メールマガジン配信 CGI「MilkyStep」には、ア
制限不備の脆弱性
クセス制限不備の脆弱性が存在しました。この 2015 年
ため、第三者により当該製品の設定を変更され 6 月 9 日
る可能性がありました。

6.4

32

「MilkyStep」におけるアクセス メールマガジン配信 CGI「MilkyStep」には、ア
制限不備の脆弱性
クセス制限不備の脆弱性が存在しました。この 2015 年
ため、第三者により当該製品の管理者でないユ 6 月 12ーザに管理者のアカウント情報を変更される
日
可能性がありました。

5.5

Ruby on Rails 用ライブラリ
Ruby on Rails でファイルをアップロードする「Paperclip」におけるクロスサイ ためのライブラリ「Paperclip」には、ウェブペ 2015 年
33
ト・スクリプティングの脆弱性 ージを出力する際の処理に問題がありました。 6 月 18（*1）
このため、第三者によりウェブページにスクリ 日
プトを埋め込まれる可能性がありました。

4.3「Symfony」におけるコード・イ ウェブアプリケーションフレームワーク
ンジェクションの脆弱性「Symfony」には、コードインジェクションの 2015 年
34
脆弱性がありました。このため、第三者により 6 月 23（*1）
任意の PHP コードを実行される可能性があり 日
ました。

6.8

「osCommerce」日本語版におけ ショッピングサイト構築システム
るディレクトリ・トラバーサルの 「osCommerce」には、ファイル名の処理に問2015 年題があり、ディレクトリ・トラバーサルの脆弱
35 脆弱性6 月 25（*1）
性が存在しました。このため、管理者としてロ日
グイン可能なユーザによって、サーバ上の任意のファイルを取得される可能性がありました。

4.0「namshi/jose」におけるトーク JSON Web Token の PHP ライブラリであるンの署名検証回避の脆弱性「namshi/jose」には、トークンの署名の検証を2015 年回避される脆弱性が存在しました。このため、
36
6 月 25（*1）
第三者によって細工されたデータを、正しく署日名されたトークンとして扱ってしまう可能性がありました。

5.0「Explorer+ File Manager」にお ファイル管理用 Android アプリ「Explorer+ File
けるディレクトリ・トラバーサル Manager」には、ファイル名の処理に問題があ2015 年の脆弱性
り、ディレクトリ・トラバーサルの脆弱性が存
6 月 30
在しました。このため、第三者によってファイ日
ルを作成または上書きされる可能性がありま
した。

4.3

「OpenEMR」における認証回避 医療情報管理ソフト「OpenEMR」には、認証
2015 年を回避される脆弱性が存在しました。このた
38 の脆弱性
6 月 30（*1）
め、第三者によって当該製品に記録された情報
日を取得される可能性がありました。

5.0

37

脆弱性の深刻度=レベル I（注意）、CVSS 基本値=0.0～3.9「bBlog」におけるクロスサイ
ウェブログソフト「bBlog」には、クロスサイ
ト・リクエスト・フォージェリのト・リクエスト・フォージェリの脆弱性があり 2015 年
39（*1） 脆弱性
ました。このため、第三者により意図しない操 4 月 7 日
作をさせられる可能性がありました。

12

2.6

項番

脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値

40「Lhaplus」におけるディレクト ファイル圧縮ソフト「Lhaplus」には、ディレリトラバーサルの脆弱性
クトリ・トラバーサルの脆弱性がありました。
2015 年
このため、第三者によりファイルを作成された
4月9日
り既存のファイルを上書きされたりする可能性がありました。

2.6

41「EasyCTF」におけるクロスサイ CTF(Capture The Flag)のスコアサーバ CGI
ト・スクリプティングの脆弱性 「EasyCTF」には、ウェブページを出力する際
2015 年の処理に問題がありました。このため、第三者
5月1日
によりウェブページにスクリプトを埋め込まれる可能性がありました。

3.5

42

「MilkyStep」におけるクロスサ メールマガジン配信 CGI「MilkyStep」には、ウ
イト・スクリプティングの脆弱性 ェブページを出力する際の処理に問題があり
2015 年ました。このため、第三者によりウェブページ
6月9日にスクリプトを埋め込まれる可能性がありま
した。

2.6

（*1）
：オープンソースソフトウェア製品の脆弱性（*2）：製品開発者自身から届けられた自社製品の脆弱性（*3）：組込みソフトウェアの脆弱性（2）

海外 CSIRT 等から脆弱性情報の提供を受け JVN で公表した脆弱性

表 2-4、2-5 は JPCERT/CC が海外 CSIRT 等と連携し、今四半期に公表した脆弱性および対応状況を示しています。今四半期に公表した脆弱性は 33 件あり、表 2-4 には通常の脆弱性情報 31
件、表 2-5 には Technical Cyber Security Alert の 2 件を示しています。
近年、Android 関連製品や OSS 製品の脆弱性の対策情報公表に向けた調整活動では、製品開発者が所在するアジア圏の調整機関、特に韓国の KrCERT/CC や中国の CNCERT/CC、台湾のTWNCERT との連携が増えています。これらの情報は、JPCERT/CC 製品開発者リスト（ *11） に登録された製品開発者へ通知したうえ、JVN に掲載しています。
表 2-4．海外 CSIRT 等と連携した脆弱性および対応状況
項番

脆弱性

対応状況

1

マルチキャスト DNS (mDNS) 実装が外部からのユニキャストクエリに応答 注意喚起として掲載
する問題
複数製品開発者へ通知

2

X-Cart に複数の脆弱性

注意喚起として掲載

3

NTP daemon (ntpd) に複数の脆弱性

複数製品開発者へ通知

4

複数の Apple 製品の脆弱性に対するアップデート

注意喚起として掲載

5

Windows NTLM が file://URL へのリダイレクト時に SMB 接続を行いユーザ 注意喚起として掲載
認証情報を送信する問題
複数製品開発者へ通知

6

SearchBlox に複数の脆弱性

注意喚起として掲載

7

Blue Coat Malware Analysis Appliance に複数の脆弱性

注意喚起として掲載

8

HP Network Automation に複数の脆弱性

注意喚起として掲載

9

Net Nanny が共有の秘密鍵とルート CA 証明書を使用している問題

注意喚起として掲載

10

Barracuda Web Filter にサーバ証明書を適切に検証しない脆弱性

注意喚起として掲載

11

EMC AutoStart に任意のコマンド実行が可能な脆弱性

注意喚起として掲載

12

ICU4C ライブラリに複数の脆弱性

注意喚起として掲載（ *11）JPCERT/CC 製品開発者リスト：https://jvn.jp/nav/index.html。

13

項番

脆弱性

対応状況

13

Bomgar Remote Support に信頼していないデータをデシリアライズする脆 注意喚起として掲載
弱性14Apple Safari における複数の脆弱性に対するアップデート

注意喚起として掲載

15

Subrion CMS に SQL インジェクションの脆弱性

注意喚起として掲載

16

Apple Watch OS に複数の脆弱性

注意喚起として掲載

17

KCodes NetUSB カーネルドライバにバッファオーバーフローの脆弱性

複数製品開発者へ通知

18「提督業も忙しい！」(KanColleViewer) がオープンプロキシとして動作する 特定製品開発者へ通知問題

19

Synology の OS X 向け Cloud Station Client ユーティリティに一般ユーザ 注意喚起として掲載
によるシステムファイルの所有者変更が可能になる問題

20Blue Coat SSL Visibility Appliance に複数の脆弱性

21

McAfee ePolicy Orchestrator が SSL/TLS 証明書を適切に検証しない脆弱 注意喚起として掲載
性22

Aptexx Resident Anywhere に機微なアカウント情報が漏えいする脆弱性

注意喚起として掲載

23

Toshiba CHEC に AES 共通鍵がハードコードされている問題

特定製品開発者へ通知

24

Toshiba 4690 OS に情報漏えいの脆弱性

特定製品開発者へ通知

25

CUPS (Common Unix Printing System) に複数の脆弱性

複数製品開発者へ通知

26

Avigilon Control Center (ACC) にディレクトリトラバーサルの脆弱性

注意喚起として掲載

27

OpenSSL に複数の脆弱性

注意喚起として掲載
複数製品開発者へ通知

28

Retrospect Backup Client が弱いパスワードハッシュを使用する問題

注意喚起として掲載

29

Pearson ProctorCache がハードコードされたパスワードを使用する問題

注意喚起として掲載

30

Vesta Control Panel にクロスサイトリクエストフォージェリの脆弱性

注意喚起として掲載

31

Samsung Galaxy S にプリインストールされた SwiftKey が言語パックのア 注意喚起として掲載
ップデートを正しく検証しない脆弱性
複数製品開発者へ通知
表 2-5.米国 US-CERT（*12）と連携した脆弱性関連情報

項番

脆弱性

1

標的型攻撃に使用されるリスクの高い脆弱性 Top 30

2

End-to-End 通信の保護（ *12）

United States Computer Emergency Readiness Team：米国の政府系 CSIRT。

14

注意喚起として掲載

2-1-5. 連絡不能案件の処理状況
図 2-12 は、2011 年 9 月末から 2015 年 6 月末までに、「連絡不能開発者」と位置づけて取扱った 205 件の処理状況の推移を示したものです。
2015 年 6 月末時点での処理状況は 205 件のうち、製品開発者と脆弱性対策情報の公表に向けた調整が再開したため連絡不能開発者一覧から削除したものは 36 件（前四半期は 25 件）、連絡不能件数は 169 件（前四半期は 160 件）でした。この 169 件は新規公表 20 件と追加情報を公表した 149 件とで構成されています。また今期は、11 件の「連絡不能開発者」と連絡がとれたため「連絡不能開発者」一覧からを削除しました。その結果、新規に公表された 20 件と差引き、9 件の純増となりました。
また、今期「調整再開（調整完了）」した 2 件は JVN の公表に向け製品開発者と調整を行った
結果、脆弱性対策情報の公表に至ったものです。
連絡不能（新規公表）

連絡不能（追加情報公表）
160

前四半期 0

調整再開（調整中）

160

10

169（9）

今四半期

20
0件

149 (-11)
20件

40件

60件

80件

調整再開（調整完了）
25
15

合計 18536（11）
19 (9) 17 (2) 合計 205

100件 120件 140件 160件 180件 200件 220件
（ ）内の数値は前四半期との差分件数

図2-12. 連絡不能開発者一覧の処理状況

15

2-2. ウェブサイトの脆弱性
2-2-1. 処理状況
図 2-13 のグラフは、ウェブサイトの脆弱性届出の処理状況について、四半期ごとの推移を示したものです。2015 年 6 月末時点の届出の累計は 8,939 件で、今四半期中に取扱いを終了したもの
は 177 件（累計 8,284 件）でした。このうち「修正完了」したものは 158 件（累計 6,352 件）、「注意喚起」により処理を取りやめたもの（*13）は 0 件（累計 1,130 件）、IPA およびウェブサイト運営者が「脆弱性ではない」と判断したものは 12 件（累計 503 件）でした。なお、ウェブサ
イト運営者への連絡は通常メールで行い、連絡が取れない場合に電話や郵送での連絡も行っています。しかしウェブサイト運営者への連絡手段がない場合などは「取扱不能」案件となります。
今期その件数は 1 件（累計 103 件）でした。また「不受理」としたものは 6 件（*14）（累計 196 件）でした。取扱いを終了した累計 8,284 件のうち「修正完了」「脆弱性ではない」の合計 6,855 件
は全て、ウェブサイト運営者からの報告もしくは IPA の判断により指摘した点が解消されていることを確認しています。なお「修正完了」のうち、ウェブサイト運営者が当該ページを削除した
ものは 44 件（累計 812 件）、ウェブサイト運営者が運用により被害を回避したものは 0 件（累計 28 件）でした。
7,422
2014年
6月末

5,595

[71%]

84

1,130

596 合計 8,018件

436 177

7,635
2014年
9月末

5,778

88

[71%]

1,130

5,941 [70%]

1,130

676

合計 8,311件

456 183

7,817
2014年
12月末

91

886

合計 8,703件

471 184

8,107

2015年
3月末

6,194

1,130

[71%]

取扱い終了 8,284(177)

修正完了 6,352(158) [73%]

2015年
6月末

0

1,000

2,000

4,000

757

合計 8,864件

655

合計 8,939件

190

脆弱性ではない

当該ページ削除
812(44)

3,000

102
491

運用で回避
28(0)

5,000

6,000

注意喚起 503
1,130 (12)取扱い中取扱不能 103(1) 不受理 196(6)

7,000

8,000

9,000

（ ）内の数値は今四半期に処理を終了した件数［］内の数値は受理した届出のうち修正完了した割合

取扱い終了

修正完了
当該ページを削除
運用で回避
注意喚起
脆弱性ではない
取扱不能
不受理
取扱い中

： ウェブサイト運営者により脆弱性が修正されたもの： 修正完了のうち、当該ページを削除したもの： 修正完了のうち、運用により被害を回避しているもの： IPA による注意喚起で広く対策実施を促した後、処理を取りやめたもの： IPA およびウェブサイト運営者が脆弱性はないと判断したもの： ウェブサイト運営者からの回答がなく、取扱いができないもの、
ウェブサイト運営者が対応しないと判断したもの： 告示で定める届出の対象に該当しないもの： ウェブサイト運営者が調査、対応中のもの

図 2-13.ウェブサイト脆弱性の届出処理状況の四半期別推移（ *13）「多数のウェブサイトにおいて利用されているソフトウェア製品に修正プログラムが適用されていない」といった届出があった場合、効果的に周知徹底するため「注意喚起」を公表することがあります。そうした場
合、「注意喚起」をもって届出の処理を取りやめます。
（ *14）
内訳は今四半期の届出によるもの 5 件、前四半期までの届出によるもの 1 件。

16

以下に、今までに届出のあったウェブサイトの脆弱性 8,939 件のうち、不受理を除いた 8,743

件の届出を分析した結果を記載します。
2-2-2. 運営主体の種類別の届出件数
図 2-14 のグラフは、届出された脆弱性のウェブサイト運営主体の種類について、過去 2 年間の届出件数の推移を四半期ごとに示しています。今四半期は全体の 7 割を企業が占めています。
不明
個人
政府機関
教育・学術機関団体
地方公共団体企業（株式会社以外）
企業（株式・非上場）企業（株式・上場）

400件
350件
300件
250件
200件
150件

100件
50件
0件

3Q
2013

4Q

1Q
2014

2Q

3Q

4Q

1Q
2015

2Q

図2-14．四半期ごとの運営主体の種類別届出件数

2-2-3. 脆弱性の種類・影響別届出
図 2-15、2-16 のグラフは、届出された脆弱性の種類を示しています。図 2-15 は今までの届出累計の割合を、図 2-16 は過去 2 年間の届出件数の推移を四半期ごとに示しています（*15）。
累計では、「クロスサイト・スクリプティング」だけで 56%を占めており、次いで「DNS 情報の設定不備」「SQL インジェクション」となっています。「DNS 情報の設定不備」は 16%あり
ますが、2008 年から 2009 年にかけて多く届出されたのが反映されています。今四半期は「クロスサイト・スクリプティング」が 7 割を占めています。なお、この統計は本制度における届出の傾向であり、世の中に存在する脆弱性の傾向と必ずしも一致するものではありません。

ウェブサイトの脆弱性の種類別の届出状況
クロスサイト・スクリプティング
DNS情報の設定不備
SQLインジェクション
ディレクトリ・トラバーサル
ファイルの誤った公開
HTTPSの不適切な利用
その他

400件
350件

10%
2%

2%
(2%)
2%

300件

56%
(55%)

250件
200件

(2%)

150件

12%
(12%)

100件
50件

16%
(16%)

3Q 4Q 1Q 2Q
2013
2014

(8,743件の内訳、グラフの括弧内は前四半期までの数字)

図2-15．届出累計の脆弱性の種類別割合（ *15）

0件
1Q 2Q
2015
(過去2年間の届出内訳)

3Q

4Q

図2-16．四半期ごとの脆弱性の種類別届出件数

それぞれの脆弱性の詳しい説明については付表 2 を参照してください。

17

図 2-17、2-18 のグラフは、届出された脆弱性がもたらす影響別の分類です。図 2-17 は届出の影
響別割合を、図 2-18 は過去 2 年間の届出件数の推移を四半期ごとに示しています。
累計では、「クロスサイト・スクリプティング」「DNS 情報の設定不備」「SQL インジェクシ
ョン」などにより発生する、「本物サイト上での偽情報の表示」「ドメイン情報の挿入」「デー
タの改ざん、消去」が全体の 8 割超を占めています。

ウェブサイトの脆弱性がもたらす影響別の届出状況

400件

本物サイト上への偽情報の表示
ドメイン情報の挿入

350件

7%

データの改ざん、消去

300件

2%
2%
3%
(3%)
4%
(4%)

サーバ内ファイルの漏洩
個人情報の漏洩
Cookie情報の漏洩

なりすまし

54%
(54%)

250件

200件
150件

その他

100件

12%
(12%)

50件

16%
(16%)

3Q 4Q 1Q 2Q
2013
2014

3Q

(8,743件の内訳、グラフの括弧内は前四半期までの数字)

0件
1Q 2Q
2015
(過去2年間の届出内訳)
4Q

図2-18．四半期ごとの脆弱性がもたらす影響別
届出件数

図2-17．届出累計の脆弱性がもたらす影響別割合

2-2-4. 修正完了状況
図 2-19 のグラフは、過去 3 年間のウェブサイトの脆弱性の修正完了件数を四半期ごとに示しています。2015 年第 2 四半期に修正を完了した 158 件のうち 76 件（48%）は、運営者へ脆弱関連情報を通知してから修正完了までの日数が 90 日以内の届出でした。今四半期は、90 日以内に修正完了した届出の割合が、前四半期（253 件中 202 件（80%））より減少しています。
表 2-6 は、過去 3 年間に修正が完了した全届出のうち、ウェブサイト運営者に通知してから、90 日以内に修正が完了した脆弱性の累計およびその割合を四半期ごとに示しています。今期の割合は 67%でした。
四半期件数

0-90日以内

91-300日以内

301日以上

400件

300件

4,436

4,549

4,745

4,915

5,119

5,308

5,446

完了件数(四半期計)

5,595

5,778

完了件数(累計)

累計件数

6,194 6,352

5,941

6,000件

5,000件253
4,000件

189

200件

204

196

138

170

171
100件

183
149

163

202

158

3,000件
2,000件

113

36

76 51
15

31

0件

1,000件
0件

3Q
2012

4Q

1Q
2013

2Q

3Q

4Q

1Q
2014

2Q

3Q

4Q

1Q
2015

2Q

図2-19．ウェブサイトの脆弱性の修正完了件数
表 2-6．90 日以内に修正完了した累計およびその割合の推移
2012
3Q

4Q

2013
1Q

2Q

3Q

4Q

2014
1Q

2Q

3Q

4Q

2015
1Q

2Q

修正完了件数

4,436

4,549

4,745

4,915

5,119

5,308

5,446

5,595

5,778

5,941

6,194

6,352

90 日以内の件数

2,930

2,993

3,147

3,244

3,400

3,557

3,635

3,730

3,872

3,982

4,184

4,260

90 日以内の割合

66%

66%

66%

66%

66%

67%

67%

67%

67%

67%

68%

67%

18

図 2-20、2-21 は、ウェブサイト運営者に脆弱性を通知してから修正されるまでに要した日数を脆弱性の種類別に分類し、その傾向を示しています（*16）。全体の 47%の届出が 30 日以内、全体の 67%の届出が 90 日以内に修正されています。

67%(90日以内の修正)
47%(30日以内の修正)
その他（356件）
メールの第三者中継（40件）
認証に関する不備（54件）
OSコマンドインジェクション（67件）
セッション管理の不備（78件）
HTTPレスポンス分割（104件）
ディレクトリ・トラバーサル（141件）
ファイルの誤った公開（144件）
DNS情報の設定不備（543件）
SQLインジェクション（775件）
クロスサイト・スクリプティング（4,050件）

1,000件
900件

800件
700件

600件
500件

10%

10%

9%

10%

7%

7%

6%

400件

14%

12%

7%

4%

300件

2%

2%

2日

3日

200件
100件
0件
0日

1日

4日
6日
11日
21日
31日
51日
91日 201日 301日～～5日 ～10日 ～20日 ～30日 ～50日 ～90日 ～200日 ～300日

図2-20．ウェブサイトの修正に要した日数
クロスサイト・スクリプティング（4,050件）
SQLインジェクション（775件）
DNS情報の設定不備（543件）

ファイルの誤った公開（144件）
ディレクトリ・トラバーサル（141件）
HTTPレスポンス分割（104件）
セッション管理の不備（78件）
OSコマンドインジェクション（67件）
認証に関する不備（54件）
メールの第三者中継（40件）
その他（356件）

0～10日

11日～20日

0%

20%

40%

21日～30日

31日～50日

51日～90日

60%
91日～200日

80%

100%

201日～300日

301日～

図2-21．ウェブサイトの修正に要した脆弱性種類別の日数の傾向（ *16）

運営者から修正完了の報告があったもの、および、脆弱性が修正されたと IPA で判断したものも含めて示しています。なお、0 日は詳細情報を通知した当日に修正されたもの、または運営者へ詳細情報を通知する前に修正されたものです。

19

2-2-5. 取扱中の状況
ウェブサイト運営者から脆弱性を修正した旨の報告が無い場合、IPA は 1～2 ヶ月毎に電子メー
ルや電話、郵送などの手段でウェブサイト運営者に繰り返し連絡を試み、脆弱性対策の実施を促しています。
図 2-22 は、ウェブサイトの脆弱性のうち、取扱いが長期化（IPA からウェブサイト運営者へ脆弱性を通知してから、90 日以上脆弱性を修正した旨の報告が無い）しているものについて、経過日数別の件数を示したものです。これらの合計は 562 件（前四半期は 415 件）と急増しています。
それは 2014 年第 4 四半期に急増した届出が修正されないまま現在に至るためです。
またウェブサイトの情報が窃取されてしまうなどの危険性がある、SQL インジェクションという深刻度の高い脆弱性が含まれる割合は全体の約 15%を占めています。
160件
140件
120件
100件
80件
60件
40件
20件
0件

（長期化 合計562件）

141
66

12
63

90～
199日

70
23
5
42

200～
299日

6…
4
19

43

300～
399日

146

その他
SQLインジェクション
クロスサイト・スクリプティング

31
27

42

34

29

4

14

10

12

12
18

2
2
10

7
25

1
3
8

17
12

8

400～
499日

500～
599日

600～
699日

700～
799日

800～
899日

900～
999日

8

88

1000日
以上

図2-22．取扱いが長期化(90日以上経過)しているウェブサイトの経過日数と脆弱性の種類
表 2-7 は、過去 2 年間の四半期末時点で取扱い中の届出と、取扱いが長期化している届出の件数および、その割合を示しています。今期末時点で長期化している届出の割合は過去 2 年間で最多の 86%となりました。
表 2-7．取扱いが長期化している届出件数および割合の四半期ごとの推移
2013
3Q

4Q

2014
1Q

2Q

3Q

4Q

2015
1Q

2Q

取扱い中の件数

504

505

490

596

676

886

757

655

長期化している件数

302

358

357

353

402

448

415

562

長期化している割合

60%

71%

73%

59%

59%

51%

55%

86%

20

3. 関係者への要望
脆弱性の修正促進のための、各関係者への要望は以下のとおりです。

3-1. ウェブサイト運営者
多くのウェブサイトで利用しているソフトウェア製品に脆弱性が発見されています。自身のウェブサイトでどのようなソフトウェア製品を利用しているかを把握し、脆弱性対策を実施することが必要です。
なお、脆弱性の理解にあたっては、以下の IPA が提供するコンテンツが利用できます。
⇒「知っていますか？脆弱性（ぜいじゃくせい）」： https://www.ipa.go.jp/security/vuln/vuln_contents/⇒「安全なウェブサイト運営入門」： https://www.ipa.go.jp/security/vuln/7incidents/

また、対策実施にあたっては、以下のコンテンツが利用できます。
⇒「安全なウェブサイトの作り方」：https://www.ipa.go.jp/security/vuln/websecurity.html⇒「安全な SQL の呼び出し方」：https://www.ipa.go.jp/security/vuln/websecurity.html⇒「Web Application Firewall 読本」：https://www.ipa.go.jp/security/vuln/waf.html

また、ウェブサイトの脆弱性診断実施にあたっては、以下のコンテンツが利用できます。
⇒「ウェブ健康診断仕様」：https://www.ipa.go.jp/security/vuln/websecurity.html⇒「動画で知ろう！クロスサイト・スクリプティングの被害！」（約 7 分）：https://www.ipa.go.jp/security/keihatsu/videos/index.html#eng

3-2. 製品開発者
JPCERT/CC は、ソフトウェア製品の脆弱性関連情報を、「製品開発者リスト」に基づき、一般
公表日の調整等を行います。迅速な調整が進められるよう、「製品開発者リスト」に登録してください（URL：https://www.jpcert.or.jp/vh/regist.html）。また、製品開発者自身が自社製品の脆弱性関連情報を発見した場合も、対策情報を利用者へ周知するために JVN を活用することができます。
JPCERT/CC もしくは IPA へ連絡してください。
なお、製品開発にあたっては、以下のコンテンツが利用できます。
⇒「組込みシステムのセキュリティへの取組みガイド（2010 年度改訂版）」：
https://www.ipa.go.jp/security/fy22/reports/emb_app2010/⇒「ファジング：製品出荷前に機械的に脆弱性をみつけよう」：
https://www.ipa.go.jp/security/vuln/fuzzing.html⇒「Android アプリの脆弱性の学習・点検ツール AnCoLe」：
https://www.ipa.go.jp/security/vuln/ancole/index.html

3-3. 一般のインターネットユーザー
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がける必要があります。ソフトウ
ェアを利用する場合は、脆弱性対策を実施してから利用してください。
なお、一般インターネットユーザー向けには、以下のツールを提供しています。
⇒「MyJVN 情報収集ツール」：http://jvndb.jvn.jp/apis/myjvn/mjcheck.html
脆弱性対策情報を効率的に収集するためのツール。
⇒「MyJVN バージョンチェッカ」：http://jvndb.jvn.jp/apis/myjvn/vccheck.html
利用者の PC、サーバ上にインストールされたソフトウェア製品のバージョンを容易にチェックする等の機能。

3-4. 発見者
脆弱性関連情報の適切な流通のため、届出した脆弱性関連情報については、脆弱性が修正されるまでは、第三者に漏れないよう、適切に管理してください。
21

付表 1. ソフトウェア製品の脆弱性の原因分類
脆弱性の原因届出において説明想定された脅威1

設定情報の漏洩通信の不正中継アクセス制御の不 アクセス制御を行うべき個所において、ア
なりすまし
備
クセス制御が欠如している。
任意のスクリプトの実行
認証情報の漏洩2

アクセス制限の回避
価格等の改ざん
サービス不能
資源の枯渇
ウェブアプリケーションに対し、入力され重要情報の漏洩た情報の内容の解釈や認証情報の取扱い、情報の漏洩
ウェブアプリケー 出力時の処理に問題がある。
「クロスサイセッション・ハイジャック
ションの脆弱性
ト・スクリプティング」攻撃や「SQL イ
通信の不正中継ンジェクション」攻撃などに利用されてし
なりすまし
まう。
任意のコマンドの実行
任意のスクリプトの実行
任意のファイルへのアクセス
認証情報の漏洩3

仕様上の不備4

ウェブブラウザやメールクライアントソ
証明書の検証に関 フトに証明書を検証する機能が実装され 証明書の確認不能
する不備ていない、または、検証が正しく行われず なりすましに、偽の証明書を受けいれてしまう。

5

本来、厳しい制限のあるセキュリティコン アプリケーションの異常終了
セキュリティコン
テキストで取り扱うべき処理を、緩い制限 情報の漏洩
テキストの適用ののセキュリティコンテキストで処理して 任意のコードの実行不備
しまう。
任意のスクリプトの実行

6

想定外の長さの入力が行われた場合に、長サービス不能バッファのチェッ さをチェックせずバッファに入力してし任意のコードの実行
クの不備
まう。「バッファオーバーフロー」攻撃に任意のコマンドの実行利用されてしまう。

7

処理の際のパラメータとして指定されているディレクトリ名やファイル名、ファイ
アプリケーションの異常終了
ルの内容をチェックしていない。任意のデファイルのパス名、
サービス不能ィレクトリのファイルを指定できてしま
内容のチェックの資源の枯渇
い、「ディレクトリ・トラバーサル」攻撃
不備
任意のファイルへのアクセスに利用されてしまう。また、破損したファ
認証情報の漏洩
イルや不正に書き換えられたファイルを処理した際に不具合が生じる。

RFC 等の公開された規格に準拠して、設 サービス不能
計、実装した結果、問題が生じるもの。 資源の枯渇

22

付表 2. ウェブサイトの脆弱性の分類
脆弱性の種類

1

ファイルの誤った公
開

深刻度

説明

届出において想定された脅威高個人情報の漏洩
一般に公開すべきでないファイルが公サーバ内ファイルの漏洩
開されており、自由に閲覧できる状態にデータの改ざん、消去
なっている
なりすまし

2

パス名パラメータの未チェック

高ユーザからの入力を処理する際のパラメータとして指定されているファイル
名を、ユーザが変更し、ウェブサーバ上 サーバ内ファイルの漏洩の任意のディレクトリのファイルを指定できてしまう3

ディレクトリ･トラバーサル

高ウェブサーバ上のディレクトリのアク
個人情報の漏洩
セス権を超えて、本来許可されている範サーバ内ファイルの漏洩
囲外のディレクトリにアクセスできる

4

セッション管理の不備高セッション管理に、推測可能な情報を使
Cookie 情報の漏洩用しているため、他のユーザの情報が容個人情報の漏洩
易に推測でき、他のユーザになりすまし
なりすまして、サービスを利用することができる

5

SQL インジェクション

高入力フォームなどへ SQL コマンド（デ個人情報の漏洩ータベースへの命令）を入力し、データサーバ内ファイルの漏洩
ベース内の情報の閲覧、更新、削除など
データの改ざん、消去ができる

高

DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名のドメイン情報の挿入
持ち主であるかのようにふるまえてしまう中外部の第三者により、他のサーバへのア
クセスを中継するサーバとして利用さ
踏み台
れ、不正アクセスなどの際にアクセス元を隠すための踏み台にされてしまう中

Cookie 情報の漏洩
ユーザの Cookie 情報を知らないうちに サーバ内ファイルの漏洩転送させたり、偽の情報を表示させたり 個人情報の漏洩するような罠のリンクをユーザにクリ データの改ざん、消去
ックさせ、個人情報等を盗むことができ なりすましる
本物サイト上への偽情報の表示

中

ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそ
データの改ざん、消去
かにアクセスさせ、登録情報の変更や商品の購入をさせることができる

中

攻撃者がユーザに対し、悪意のある要求
をウェブサーバに送信するように仕向けることで、ウェブサーバからの応答を ウェブキャッシュ情報の分割させて応答内容をすり替え、ユーザ すり替えに対して偽のページを表示させることができる

中

ユーザに対し、ソフトウェアをインストールさせたり、ブラウザのセキュリティ
利用者のセキュリティレ
レベルを下げるよう指示することでクベルの低下
ライアント PC のセキュリティ設定を低下させる

中

ウェブサーバに設置したリダイレクタ
踏み台が悪意あるリンクへの踏み台にされた
本物サイト上への偽情報
り、そのウェブサイト上で別のサイト上の表示のページを表示させられてしまう

6

7

DNS 情報の設定不備

オープンプロキシ

8

クロスサイト･
スクリプティング

9

クロスサイト・リク
エスト・フォージェ
リ

10

HTTP レスポンス分
割

セキュリティ設定の11 不適切な変更

リダイレクタの不適
12
切な利用

23

脆弱性の種類

13

14

深刻度

フィルタリングの回避OS コマンド・インジ
ェクション

15 メールの第三者中継

HTTPS の不適 切 な
16 利用

17 価格等の改ざん

届出において想定された脅威説明中

ウェブサイトのサービスやブラウザの機能として提供されているフィルタリ 利用者のセキュリティレ
ング機能が回避される問題。これによ ベルの低下
り、本来制限されるはずのウェブページ なりすましを閲覧してしまう中

攻撃者がウェブアプリケーションを介してウェブサーバの OS コマンドを実行できてしまい、サーバ内ファイルの閲覧 任意のコマンドの実行やシステム操作、不正なプログラムの実
行などを行われてしまう

低利用者が入力した内容を管理者が指定したメールアドレスに送信する機能で、メールシステムの不正利
外部の利用者が宛先メールアドレスを用自由に指定できてしまい、迷惑メール送
信の踏み台に悪用される

低

HTTPS による暗号化をしているが、暗号の選択や設定が十分でなかったり、ウェブサイトでのユーザへの説明に間違 なりすましいがある、または、ウェブサイトの設計
上、ユーザから証明書が確認できない

低ショッピングサイトにおいて、価格情報等が利用者側で書き換えられる。書き換
データの改ざんえによる被害は、ウェブサイト側に限定
される

・API

: Application Program Interface

・RFC: Request For Comments

・CGI: Common Gateway Interface

・SQL: Structured Query Language

・DNS: Domain Name System

・SSI: Server Side Include

・HTTP: Hypertext Transfer Protocol

・SSL: Secure Socket Layer

・HTTPS: Hypertext Transfer Protocol Security

・TCP: Transmission Control Protocol

・URI: Uniform Resource Identifier・URL: Uniform Resource Locator・ISAKMP : Internet Security Association
・MIME

Key Management Protocol: Multipurpose Internet Mail Extension

付図１．
「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報の取扱制度）
情報セキュリティ早期警戒パートナーシップ

脆弱性関連
情報届出

ソフトウェア
製品の脆弱性

脆弱性関連
情報通知

受付・分析機関

発
見
者

報告された
脆弱性関連情報の内容確認・検証

調整機関

対応状況の集約、
公表日の調整等

脆弱性対策情報ポータル

対応状況等
公表

公表日の決定、
海外の調整機関との連携等
ソフトウェア
システム
製品開発者
導入支援者
検証、対策実施

分析支援機関セキュリティ対策推進協議会等

ウェブサイトの
脆弱性

脆弱性関連
情報届出

産総研など

脆弱性関連情報通知

ウェブサイト運営者

ユーザ

政府
企業
個人

個人情報の漏えい時は事実関係を公表

検証、対策実施①製品開発者及びウェブサイト運営者による脆弱性対策を促進【期待効果】 ②不用意な脆弱性関連情報の公表や脆弱性の放置を抑制③個人情報等重要情報の流出や重要システムの停止を予防※IPA:独立行政法人情報処理推進機構, JPCERT/CC:一般社団法人 JPCERT コーディネーションセンター、産総研：国立研究開発法人産業技術総合研究所

24