プレスリリース
200７年 4 月 19 日
独立行政法人 情報処理推進機構
有限責任中間法人 JPCERT コーディネーションセンター

ソフトウェア等の脆弱性関連情報に関する届出状況 [2007 年第 1 四半期（1 月～3 月）]
独立行政法人 情報処理推進機構（略称：IPA、理事長：藤原 武平太）および有限責任中間法人 JPCERTコーディネーションセンター（略称：JPCERT/CC、代表理事：歌代 和正）は、2007 年第 1 四半期（1 月～3月）の脆弱性関連情報の届出状況(*1)をまとめました。

今四半期の呼びかけ：「ウェブサイトやソフトウェア製品の企画・設計段階から情報セキュリティを考慮した品質を作り込みましょう！」―「安全なウェブサイトの作り方」「セキュア・プログラミング講座」「C/C++セキュアコーディング」(*2)などを参考に―

1. 2007 年第 1 四半期の届出状況
表 1．2007 年第 1 四半期の届出件数
表 1 に示すように、2007 年 1 月 1 日か分類
届出件数 累計件数
ら 3 月 31 日までの IPA への脆弱性関連情ソフトウェア製品
届出
36 件
455 件
報の届出件数は、ソフトウェア製品に関す
脆弱性公表
28 件
170 件
るもの 36 件、ウェブアプリケーション（ウェウェブアプリケーション 届出
95 件
844 件
ブサイト）に関するもの 95 件、合計 131 件（ウェブサイト）
修正完了
53 件
456 件
でした。届出受付開始（2004 年 7 月 8 日）からの累計は、ソフトウェア製品に関するもの 455 件、ウェブサイトに関するもの 844 件、合計 1,299 件で、ウェブサイトに関する届出が全体の 3 分の 2 を占めています。
(1)四半期毎の届出状況の推移
図１(*3)に示すように、届出受付開始（2004 年 7 月 8 日）から各四半期末時点までの就業日 1 日あたりの届出件数が増加してきており、2007 年第 1 四半期末で 1.95 件となりました。近年、着実に増加しており、就業日 1 日あたり 2 件に近づいています。
就業日 1 日あたりの届出件数（届出受付開始から各四半期末時点）
2005/1Q

2005/2Q

2005/3Q

2005/4Q

2006/1Q

2006/2Q

2006/3Q

2006/4Q

2007/1Q

1.45

1.43

1.58

1.59

1.61

1.70

1.75

1.92

1.95

140

ソフトウエア製品に関する届出

ウェブサイトに関する届出

ソフトウエア製品に関する届出（累計）

ウェブサイトに関する届出（累計）

120

661

四 100
半
期
件
数

507

277

211

20

45
13

71

2005/1Q

64
66

33 102

43

2005/2Q

2005/3Q

2005/4Q

19

174

140

97

55

455

419

379

60

0

564

434

80

40

844
749

73

85 57

37

97

123 8836

2006/1Q

2006/2Q

2006/3Q

2006/4Q

2007/1Q

34

図1.脆弱性関連情報の四半期別届出件数の推移
1

700
600
500
400
300
200

296

259

900
800

95

100
0

累
計
件
数

2.ソフトウェア製品の脆弱性(1)2007 年第 1 四半期から脆弱性の深刻度評価(*4)を開始しました2007 年 2 月 22 日から、FIRST(*5)の場で適用推進などが行われている共通脆弱性評価システム CVSS(*6)
を用い、ソフトウェア製品の脆弱性の深刻度評価を開始しました(*7)。
CVSS は、脆弱性そのものの特性を評価する「基本評価基準(Base Metrics)」、攻撃コードの出現有無や対策情報の利用可否などの現状の深刻度を評価する「現状評価基準（Temporal Metrics)」、製品利用者が対象製品の使用状況や攻撃を受けた場合の二次的な被害の大きさから最終的に深刻度を評価する「環境評価基準（Environmental Metrics）」から構成されます。
(2)脆弱性の深刻度評価には CVSS 基本値を用いています
IPA では、ソフトウェア製品の脆弱性の深刻度評価は、CVSS の「基本評価基準(Base Metrics)」を用い、CVSS 基本値(Base Score)を算出し、脆弱性そのものの特性について深刻度評価を行っています。
表 2 に示すように、CVSS 基本値は、脆弱性に対する攻撃がインターネット経由で可能か否か、攻撃に必要な条件の複雑さはどうか、攻撃前に認証(Authentication）が必要か否か、などの項目を評価して算出しま
す。また、情報システムに求められるセキュリティ特性、「機密性（Confidentiality Impact）」、「完全性(Integrity Impact）」、「可用性(Availability Impact）」の３つの要素に対する影響度も加味して算出します。
CVSS 基本値は、機密性・完全性・可用性の３つの要素に同時に影響を与えるものほど高くなります。

表2.CVSS基本値の評価基準

件数

ローカル

リモート(*a)150(2)攻撃条件の複雑さ

高

低

100

(3)攻撃前の認証(*b)要否

必要不要(1)攻撃元区分

14550(4)機密性への影響（情報漏えいの可能性）

なし

部分的

全面的

(5)完全性への影響（情報改ざんの可能性）

なし

部分的

全面的

深刻度

(6)可用性への影響（業務停止の可能性）

なし

部分的

全面的

CVSS
基本値

7

18

0

(*a)：インターネット経由で攻撃可能、(*b)：Authentication

レベルI
（注意）

レベルII レベルIII（警告） （危険）0.0～3.9

4.0～6.9

7.0～10

図2.公表済み脆弱性の深刻度分布(3)2007 年第 1 四半期末までに公表した脆弱性の深刻度
届出受付開始から 2007 年第 1 四半期末までに JVN(*8)で脆弱性対策情報を公表した 170 件のソフトウェ
ア製品の脆弱性の深刻度は図 2 にのようになっています。レベル III（危険）が 18 件、レベルＩＩ（警告）が 7 件、レベル I（注意）が 145 件ありました。レベル III（危険）やレベル II（警告）に分類される深刻度の高いものには、
OS コマンドインジェクション、SQL インジェクション、バッファオーバーフローなどの脆弱性がありました。
(4)2007 年第 1 四半期に公表した脆弱性の概要
2007 年第 1 四半期に JVN で公表した 28 件のソフトウェア製品の脆弱性の中に、深刻度が高いレベル III（危険）が 1 件、レベルＩＩ（警告）が 2 件ありました（P.7 表 1-2 項番 1,2,3）。レベルＩＩ（警告）の 2 件は、RSS(*9)
情報を取り扱う製品です。RSS 関連はレベル I（注意）にも 2 件(表 1-2 項番 6,13)あり、計 4 件ありました。
RSS は、ウェブサイトの更新情報やニュース情報の配信などを利用者が効率的に把握できる技術として普及してきています。外部情報を定期的に取得する機能を持つソフトウェア製品は、情報セキュリティを考慮した品質の作り込みが特に重要です。
2

3.ウェブサイトの脆弱性
届出受付開始（2004 年 7 月 8 日）から 2007 年第 1 四半期末までに届出を受付た累計 844 件のうち、不受理 62 件を除いた 782 件のウェブサイトの運営主体は、企業合計が 70%、各種協会・社団法人などの団体
が 9%、個人サイトが 8%などとなっています（図 3）。
また、届出対象のウェブサイト数で見ると、累計 578 サイトに対して届出があり、一つのウェブサイトに対して 1 件の届出があったものは 86%、同一ウェブサイトに 2 件～4 件の届出があったものが 12%、5 件～9 件
が 1%、10 件以上が 1%ありました（図 4）。
同一ウェブサイトに対する複数の届出の中には、届出られたウェブページ以外のウェブページにも脆弱性があった事例がありました。また、一度、脆弱性を対策しても、ウェブサイトの更新や再構築などにより、新たな脆弱性を作り込んだ事例もありました。
ウェブサイト運営者は、一過性のセキュリティ対策ではなく、情報セキュリティマネジメントとして継続的にセキュリティ対策および運用を行い、セキュリティレベルを保つことが重要です。

5%

4% 4%

19%

1%

1%

12%

企業（株式・上場）企業（株式・非上場）

8%

1件のみ

企業（有限会社）

9%
3%

企業（その他）

2件～4件

団体（協会・社団法人など）

5件～9件

個人

10件以上

地方公共団体4%

教育・学術機関

企業合計：70%

44%

政府機関

86%

図4.各ウェブサイトの脆弱性件数

図3.ウェブサイトの運営主体『脚注』(*1)ソフトウェア等の脆弱性関連情報に関する届出制度：経済産業省告示に基づき、2004 年 7 月より開始しました。
IPA は届出受付・分析、JPCERT/CC は国内の製品開発者などの関連組織との調整を行っています。
(*2)「安全なウェブサイトの作り方 改訂第 2 版」：http://www.ipa.go.jp/security/vuln/websecurity.html「セキュア・プログラミング講座」：http://www.ipa.go.jp/security/awareness/vendor/programming/index.html「C/C++ セキュアコーディング」：http://www.jpcert.or.jp/securecording_book.html(*3)2006 年第 4 四半期に公表した四半期別届出件数の推移のグラフから、2006/4Q にウェブサイトに関して届出られた１件を、ソフトウェア製品に関する届出として変更するなどを変更しました。
(*4)脆弱性の深刻度評価：http://www.ipa.go.jp/security/vuln/SeverityLevel.html(*5)FIRST：Forum of Incident Response and Security Teams。http://www.first.org/(*6)CVSS：Common Vulnerability Scoring System。http://www.ipa.go.jp/security/vuln/SeverityCVSS.html(*7)脆弱性関連情報の調査結果：http://www.ipa.go.jp/security/vuln/documents/index.html(*8)JVN：脆弱性対策情報ポータルサイトです。国内製品開発者の脆弱性への対応状況を公開し、システムのセ
キュリティ対策を支援しています。IPA および JPCERT/CC が共同で運営しています。http://jvn.jp/(*9)RSS：RDF(Resource Description Framework) Site Summary。主にウェブサイトの更新情報を公開するのに使用されている構造化されたデータ形式。
■ 本件に関するお問い合わせ先
独立行政法人 情報処理推進機構 セキュリティセンター
Tel: 03-5978-7527 Fax: 03-5978-7518 E-mail: vuln-inq@ipa.go.jp
有限責任中間法人 JPCERT コーディネーションセンター
Tel: 03-3518-4600 Fax: 03-3518-4602 E-mail: office@jpcert.or.jp■ 報道関係からのお問い合わせ先
独立行政法人 情報処理推進機構 戦略企画部広報グループ 横山／佐々木
Tel: 03-5978-7503 Fax:03-5978-7510 E-mail: pr-inq@ipa.go.jp
有限責任中間法人 JPCERT コーディネーションセンター 経営企画室 広報 江田
Tel:03-3518-4600 Fax:03-3518-4602 E-mail: pr@jpcert.or.jp

3

別紙１

1. ソフトウェア製品の脆弱性関連情報の取扱いおよび調整
1.1 ソフトウェア製品の脆弱性の処理状況
ソフトウェア製品の脆弱性関連情報の届出について、処理状況を図 1-1 に示します。今四半期に公表した脆弱性は、28 件（累計 170 件）です。また、「不受理」としたものは 4 件（累計 71 件）です。
（括弧内の数字は、今四半期に「公表」、取扱い終了：136件
2006年
9月末

「脆弱性でない」と判断されたもの等の件数）
19

117

107

合計296件

53

167件
2006年
12月末

142

25

182

合計419件

67

196件(29件)
29
(4)

公表済み

2007年
3月末

170(28)

取扱い中

不受理

185

71(4)

合計455件

脆弱性ではない
0

50

100

150

公表済み
脆弱性ではない
取扱い中
不受理

200

250

300

350

400

450

500

： JVN で脆弱性への対応状況を公表したもの： 製品開発者により脆弱性ではないと判断されたもの： 製品開発者が調査、対応中のもの： 告示で定める届出の対象に該当しないもの

図 1-1.ソフトウェア製品 各時点における脆弱性関連情報の届出の処理状況

1.2 届出られた製品の種類
届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報 455 件のうち、不受理のものを除いた 384 件の製品種類別の内訳を図 1-2 に示します。
図 1-2 に示すように、IPA に届出があった脆弱性には、「ウェブアプリケーションソフト」に関するものが多くあります。また、パソコンなどのコンピュータ上で動くソフトウェアだけでなく、携帯機器や情報家電、パソコンの周辺機器などに関するものが含まれています。

1%
1%1%
1%
1%
2%
2%
2%
2%
4%
4%
4%(4%)

1%

1%

5%

38%(40%)9%(9%)

10%(11%)

13%(13%)※ その他には、データベース、ワープロソフト等があります

ウェブアプリケーションソフト
ウェブブラウザ
グループウェア
アプリケーション開発・実行環境
メールソフトシステム管理ソフト
アンチウイルスソフト
ウェブサーバ
検索システムOS
ルータ
ファイル交換システム
プロキシ
IP 電話
携帯機器
ネーム・ディレクトリサーバ
情報家電
周辺機器
その他

（384 件の内訳、グラフの括弧内は前四半期の数字）

図 1-2.ソフトウェア製品の脆弱性 製品種類別内訳（届出受付開始から 2007 年 3 月末まで）
4

1.3 脆弱性の原因と脅威
届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報 455 件のうち、不受理のものを除いた 384 件の原因別の内訳を図 1-3 に、脅威別の内訳を図 1-4 に示します。
図 1-3 に示すように、脆弱性の原因は「ウェブアプリケーションの脆弱性」が最多であり、図 1-4 に示すように、脅威についても「任意のスクリプト実行」が最多となっています。これは、「ウェブアプリケーションソフト」以外のソフトウェア製品であっても、ウェブブラウザから管理、使用するものが多くあり、そこに脆弱性が存在するためです。

6%

ウェブアプリケーションの脆弱性
ファイルのパス名、内容のチェックの不備

13%

バッファのチェックの不備
仕様上の不備セキュリティコンテキストの適用の不備

2%
3%

アクセス制御の不備証明書の検証に関する不備

3%(4%)
4%(3%)
61%(62%)

その他実装上の不備
その他ウェブに関連する不備

4%(4%)
4%(4%)（384 件の内訳、グラフの括弧内は前四半期の数字）

図 1-3.ソフトウェア製品の脆弱性 原因別内訳（届出受付開始から 2007 年 3 月末まで）1

2%

1%

1%

2%
2%
3%
4%

1%

2%

4%
48%(48%)4%
4%(5%)
6%(6%)
7%(8%)
8%(8%)

任意のスクリプトの実行
情報の漏洩
なりすまし
サービス不能任意のコードの実行
任意のコマンドの実行
認証情報の漏洩通信の不正中継
任意のファイルへのアクセス
アプリケーションの異常終了
セッション・ハイジャック
資源の枯渇
証明書等の確認不能
アクセス制限の回避
URL等の表示の偽装その他（384 件の内訳、グラフの括弧内は前四半期の数字）

図 1-4.ソフトウェア製品の脆弱性 脅威別内訳（届出受付開始から 2007 年 3 月末まで）1

1

それぞれの脆弱性の詳しい説明については付表 1 を参照してください。
5

1.4 ソフトウェア製品の脆弱性情報の調整および公表状況
JPCERT/CC は、表 1-1 に示す 2 種類の脆弱性関連情報について、日本国内の製品開発者等の関係者、
および海外 CSIRT2の協力のもと、海外の製品開発者との調整を行っています。これらの脆弱性関連情報に対する製品開発者の対応状況は、IPA と JPCERT/CC が共同運営している脆弱性対策情報ポータルサイト JP
Vendor status Notes（JVN）において公表しています（URL： http://jvn.jp/）。

表 1-1.脆弱性関連情報の提供元別 脆弱性公表件数
情報提供元

今期

累計

①

国内の発見者から IPA に届出があったもの、および、製品開発者自身から自社製品の脆弱性、対策方法について連絡を受けたもの

28

170

②

海外 CSIRT から連絡を受けたもの

21

162

計

49

332

（1）国内の発見者および製品開発者から届出があり公表した脆弱性
届出受付開始から 2007 年 3 月末までの届出について、脆弱性関連情報の届出（表 1-1 の①）を受理してか
ら製品開発者が対応状況を公表するまでに要した日数を図 1-5 に示します。全体の 38％の届出が 45 日以内に公表されています。
45 日以内の公表件数の割合
2006/4Q まで
2007/1Q まで
41%
38%

38%

全体
（170件）

14件

0%

18件

10%

15件

20%

～ 10日
46日 ～ 100日

17件

30%

61件

40%

11日 ～ 20日
101日 ～ 200日

50%

32件

60%

70%

21日 ～ 30日
201日 ～ 300日

80%

8件 5件

90%

100%

31日 ～ 45日
301日 ～

図 1-5.ソフトウェア製品の脆弱性 公表日数
表 1-2 に、国内の発見者、製品開発者から届出を受け、今四半期に公表した脆弱性を示します。
オープンソースソフトウェアに関して開発者、開発コミュニティに通知し公表したものが 8 件（表 1-2 の*1）、製品開発者自身から自社製品に関する脆弱性対策情報について連絡を受け公表したものが 3 件（表 1-2 の*2）、複数の製品開発者のソフトウェア製品に影響がある脆弱性が 2 件（表 1-2 の*3）ありました。
今四半期は RSS 情報を取り扱うソフトウェア製品の脆弱性対策情報を公表しました（表 1-2 の項番 2，3，6，
13）。RSS は、ウェブサイトの更新情報やニュース情報の配信など、頻繁に情報が更新されるウェブサイトで利用されており、複数のウェブサイトの更新情報を利用者が効率的に把握できる技術として普及してきています。
今回の公表は、不特定多数の人が書き込める情報に意図しないスクリプトが埋め込まれてしまう脆弱性の一つ
として、対策情報を公表したものです。外部情報を定期的に取得する機能を持つソフトウェア製品は、情報セキ
ュリティを考慮した品質の作り込みが特に重要です。

2

CSIRT（Computer Security Incident Response Team）は、コンピュータセキュリティに関するインシデント（事故）への対応や調整、サポートをするチームのことです。
6

表 1-2.2007 年第 1 四半期に JVN で公表した脆弱性
項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN
公表日

CVSS
基本値

脆弱性の深刻度=レベル III（危険）「ショッピングバスケットプロ」 ショッピングサイト構築ソフトである「ショッピングバスケットプロ v７」に 2007 年
1における OS コマンドインジ は、入力内容の検査処理が適正に行われない OS コマンドインジェク 1 月 25 日(*1)
ェクションの脆弱性
ションの脆弱性が存在します。このため、第三者によりウェブサーバで(*2)
任意のコマンドを実行される可能性があります。

7.0

脆弱性の深刻度=レベル II（警告）
Mozilla Firefox に RSS 情報の管理機能を追加する機能拡張である 2007 年「Sage」には、RSS 情報を HTML ページに変換する際の処理が不適 2 月 9 日
切なため、意図しないスクリプトが実行されてしまう可能性があります。スクリプトの内容によっては、コンピュータ内の任意のファイルを閲
覧される可能性があります。

4.7「NewsGlue」と「いきなり事情 RSS 情報を管理するソフト「NewsGlue」および「いきなり事情通」には、 2007 年通」において任意のスクリプ RSS 情報を HTML ページに変換する際の処理が不適切なため、意 3 月 22 日
3
図しないスクリプトが実行されてしまう可能性があります。スクリプトのトが実行される脆弱性(*3)
内容によっては、コンピュータ内の任意のファイルを閲覧される可能性があります。

4.7

2
(*1)

「Sage」において任意のスクリプトが実行される脆弱性

脆弱性の深刻度=レベル I（注意）ブログ作成ソフト「Serene Bach」には、ウェブページを出力する際のエ 2007 年
スケープ処理に漏れがあります。このため、第三者によりウェブページ 1 月 5 日にスクリプトを埋め込まれる可能性があります。

2.3「Drupal」におけるクロスサイ コンテンツ管理システム「Drupal」には、ウェブページを出力する際のエ 2007 年
5
ト・スクリプティングの脆弱性 スケープ処理に漏れがあります。このため、第三者によりウェブページ 1 月 17 日(*1)
にスクリプトを埋め込まれる可能性があります。

2.3「フレッシュリーダー」におけ RSS 情報を管理するソフト「フレッシュリーダー」には、ウェブページを 2007 年
る RSS フィード クロスサイ 出力する際のエスケープ処理に漏れがあります。このため、第三者に 1 月 18 日
ト・スクリプティングの脆弱性 よりウェブページにスクリプトを埋め込まれる可能性があります。

2.3

4

6

「Serene Bach」におけるクロ
スサイト・スクリプティングの脆弱性「phpAdsNew」におけるクロ
7 スサイト・スクリプティングの(*1) 脆弱性

オープンソースのウェブ広告作成・管理システム「 phpAdsNew」には、 2007 年
ウェブページを出力する際のエスケープ処理に漏れがあります。この 1 月 22 日
ため、第三者によりウェブページにスクリプトを埋め込まれる可能性が
あります。

2.3

「Movable Type」におけるクロスサイト・スクリプティングの脆弱性

ウェブログを作成・管理するためのシステム「Movable Type」には、ウェ 2007 年
ブページを出力する際のエスケープ処理に漏れがあります。このた 1 月 23 日
め、第三者によりウェブページにスクリプトを埋め込まれる可能性があ
ります。

2.3

2.3

9

フォームメール「WebFORM」には、メールの本文部分へ挿入される入 2007 年
CGI RESCUE 製「WebFORM」におけるメール 力値の処理が適切に行われない問題があります。このため、ウェブ管 1 月 25 日
内容欠落の脆弱性
理者に届くメールから、メール送信者に関する情報が欠落する可能性があります。

2.3

10

CGI RESCUE 製
フォームメール「WebFORM」には、ウェブページを出力する際のエスケ 2007 年「WebFORM」におけるクロス ープ処理に漏れがあります。このため、第三者によりウェブページにス 1 月 25 日
サイト・スクリプティングの脆 クリプトを埋め込まれる可能性があります。
弱性フォームメール「WebFORM」には、HTTP ヘッダを出力する際の処理 2007 年に問題があります。このため、第三者によりウェブページに偽の情報 1 月 25 日が表示される可能性があります。

2.3

11

CGI RESCUE 製「WebFORM」における
HTTP ヘッダインジェクショ
ンの脆弱性「b2evolution」におけるクロ12
スサイト・スクリプティングの
(*1)
脆弱性

ブログ作成ソフト「b2evolution」には、ウェブページを出力する際のエス 2007 年
ケープ処理に漏れがあります。このため、第三者によりウェブページに 1 月 26 日
スクリプトを埋め込まれる可能性があります。

2.3

8

7

項番

脆弱性

JVN
公表日

CVSS
基本値

ウェブブラウザ「Sleipnir」の RSS バーには、RSS 情報がセキュリティ 2007 年
制限の緩いゾーンで取り扱われてしまう問題があります。このため、セ 1 月 26 日
キュリティ制限の緩いゾーンで意図しないスクリプトが実行されてしまう可能性があります。

1.9「MODx」におけるクロスサイ オープンソースのコンテンツ管理システム「MODx」には、ウェブページ 2007 年
14
ト・スクリプティングの脆弱性 を出力する際のエスケープ処理に漏れがあります。このため、第三者 1 月 29 日(*1)
によりウェブページにスクリプトを埋め込まれる可能性があります。

2.3「CCC クリーナー」における ボット駆除ツール「CCC クリーナー」には、バッファオーバーフローの脆 2007 年
15
バッファオーバーフローの脆 弱性が存在します。このため、第三者により任意のコードを実行された 2 月 10 日(*2)
弱性り、サービス不能状態になる可能性があります。

3.9

2.3

16

「ColdFusion」におけるクロス ウ ェ ブ ア プ リ ケ ー シ ョ ン 開 発 支 援 の た め の フ レ ー ム ワ ー ク で あ る 2007 年
サイト・スクリプティングの脆 「ColdFusion」には、ウェブページを出力する際のエスケープ処理に漏 2 月 14 日
れがあります。このため、第三者によりウェブページにスクリプトを埋め弱性込まれる可能性があります。

2.3

17

「ColdFusion」のエラー画面 ウ ェ ブ ア プ リ ケ ー シ ョ ン 開 発 支 援 の た め の フ レ ー ム ワ ー ク で あ る 2007 年におけるクロスサイト・スクリ 「ColdFusion」のエラー画面には、ウェブページを出力する際のエスケ 2 月 14 日
ープ処理に漏れがあります。このため、第三者によりウェブページにス
プティングの脆弱性
クリプトを埋め込まれる可能性があります。
「Adobe JRun」におけるクロ
スサイト・スクリプティングの脆弱性

J2EE（Java 2 Platform Enterprise Edition）に準拠したアプリケーション 2007 年
サーバである「Adobe JRun」には、ウェブページを出力する際のエスケ 2 月 14 日
ープ処理に漏れがあります。このため、第三者によりウェブページにス
クリプトを埋め込まれる可能性があります。

2.3「アリエル・エアワン・シリー
ズ」におけるクロスサイト・ス
クリプティングの脆弱性

プロジェクトやスケジュールの管理ソフトである「アリエル・エアワン・シ 2007 年リーズ」には、ウェブページを出力する際のエスケープ処理に漏れがあ 2 月 16 日
ります。このため、第三者によりウェブページにスクリプトを埋め込まれる可能性があります。

2.3「CCC クリーナー」における ボット駆除ツール「CCC クリーナー」には、UPX 圧縮実行ファイルの検 2007 年
20 UPX 圧縮実行ファイル検索 索処理においてゼロ除算の脆弱性が存在します。 このため、「 CCC 3 月 12 日(*2) 処理にゼロ除算の脆弱性
クリーナー」が異常終了したり、システムが異常終了する可能性があり
ます。

3.3

「Trac」におけるクロスサイ
プロジェクト管理ツール「 Trac 」には、 Internet Explorer を利用した場 2007 年
21
ト・スクリプティングの脆弱性 合、コンテンツに含まれるスクリプトが実行されてしまう問題がありま 3 月 13 日
(*1)
す。

2.3

13

18

19

「Sleipnir」の RSS バーにおけるセキュリティゾーンの扱
いに関する脆弱性

未対策状態でのセキュリティ上の問題点

暗 号 化 ソ フ ト ウ エ ア 「 FENCE-Pro 」 お よ び 「 Systemwalker Desktop 2007 年
Encryption」には、作成した自己復号型ファイルに問題があります。こ 3 月 16 日のため、正しいパスワードを知らなくとも復号できる可能性がありま
す。

3.7

22

「FENCE-Pro」および「Systemwalker Desktop
Encryption」の自己復号型ファイルにおける脆弱性

2.3

23

「Interstage Application
アプリケーションの実行・開発環境「 Interstage Application Server 」に 2007 年
Server」におけるクロスサイ は、ウェブページを出力する際のエスケープ処理に漏れがあります。こ 3 月 19 日
ト・スクリプティングの脆弱性 のため、第三者によりウェブページにスクリプトを埋め込まれる可能性があります。

2.3

24「BASP21」においてメールの Windows OS で動作する汎用コンポーネント「BASP21」には、管理者 2007 年
不正送信が可能な脆弱性が設定していない宛先や内容で電子メールを送信してしまう問題があ 3 月 26 日
ります。このため、第三者により任意の宛先へ不正にメールを送信される可能性があります。

「CruiseWorks」および「みん グループウェア「CruiseWorks」および「みんなでオフィス」には、ユーザ 2007 年
25 なでオフィス」におけるアクセ のアクセス制限が適切に行われていない問題があります。このため、 3 月 29 日(*3) ス制限回避の脆弱性
一般ユーザがシステム設定や登録情報を変更できてしまう可能性が
あります。

2.0

「Overlay Weaver」におけるク オーバレイネットワークの構築およびエミュレーション環境を提供する 2007 年
26 ロスサイト・スクリプティング ソフト「Overlay Weaver」には、ウェブページを出力する際のエスケープ 3 月 30 日(*1) の脆弱性
処理に漏れがあります。このため、第三者によりウェブページにスクリプトを埋め込まれる可能性があります。

2.3

8

項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN
公表日

CVSS
基本値
2.3

27

「MailDwarf」においてメール メールフォーム CGI 「 MailDwarf 」には、管理者が設定していない宛 2007 年の不正送信が可能な脆弱性 先や内容で電子メールを送信してしまう問題があります。このため、第 3 月 30 日
三者により任意の宛先へ不正にメールを送信される可能性があります。
「MailDwarf」におけるクロス メールフォーム CGI 「MailDwarf」には、ウェブページを出力する際の 2007 年
サイト・スクリプティングの脆 エスケープ処理に漏れがあります。このため、第三者によりウェブペー 3 月 30 日
弱性ジにスクリプトを埋め込まれる可能性があります。

2.3

28

(*1)：オープンソースソフトウェア製品の脆弱性、(*2)：製品開発者自身から届出られた自社製品の脆弱性(*3)：複数開発者・製品に影響がある脆弱性（2）海外 CSIRT から連絡を受け公表した脆弱性
表 1-3 に海外 CSIRT から連絡を受けた脆弱性を示します。海外 CSIRT から連絡を受けた脆弱性情報は、登録された国内の製品開発者のうち関連する製品開発者へ通知したうえ、日本語訳を JVN に掲載しています。
今四半期は、米国 CERT/CC（Computer Emergency Response Team/ Coordination Center）から 21 件の脆弱性関連情報の連絡を受けました。このほか、13 件の US-CERT Technical Cyber Security Alert を JVN で公表しました。

表 1-3.CERT/CC から連絡を受けた脆弱性関連情報および対応状況
項番

脆弱性

対応状況

1

Apple QuickTime の Real Time Streaming Protocol (RTSP) 処理にバッファオーバーフロー
注意喚起として掲載の脆弱性

2

Kerberos administration daemon が適切に関数ポインタを初期化しない問題

複数製品開発者へ通知

3

Kerberos administration daemon が初期化されていないポインタを解放する問題

複数製品開発者へ通知

4

Cisco IOS が細工された IP オプションを含むパケットを適切に処理できない問題

特定製品開発者へ通知

5

Cisco IOS が不正な IPv6 パケットを適切に処理できない問題

特定製品開発者へ通知

6

Cisco IOS における TCP パケットを適切に処理できない問題

特定製品開発者へ通知

7

Microsoft Word 2000 に文字列処理に関する脆弱性

注意喚起として掲載

8

Cisco IOS における SIP パケットの処理に関する脆弱性

注意喚起として掲載

9

Microsoft Office 製品において任意のコードが実行される脆弱性

注意喚起として掲載

10

Trend Micro AntiVirus が細工された UPX 圧縮実行ファイルを適切に処理できない脆弱性

注意喚起として掲載

11

Microsoft Word に文字列を適切に処理できない脆弱性

注意喚起として掲載

12

ベリサインの ActiveX コントロールにおけるバッファオーバーフローの脆弱性

注意喚起として掲載

13

デバイスエクスプローラ HIDIC OPC サーバにバッファオーバーフローの脆弱性

特定製品開発者へ通知

14

デバイスエクスプローラ FA-M3 OPC サーバにバッファオーバーフローの脆弱性

特定製品開発者へ通知

15

デバイスエクスプローラ SYSMAC OPC サーバにバッファオーバーフローの脆弱性

特定製品開発者へ通知

16

デバイスエクスプローラ TOYOPUC OPC サーバにバッファオーバーフローの脆弱性

特定製品開発者へ通知

17

デバイスエクスプローラ MODBUS OPC サーバにバッファオーバーフローの脆弱性

特定製品開発者へ通知

18

デバイスエクスプローラ MELSEC OPC サーバにバッファオーバーフローの脆弱性

特定製品開発者へ通知

19

OpenBSD の IPv6 パケット処理にバッファオーバーフローの脆弱性

注意喚起として掲載

20

NETxAutomation 社製 NETxEIB OPC Server に OPC server handle を適切に処理できない
注意喚起として掲載
脆弱性

21

Microsoft Windows アニメーションカーソル ANI ヘッダにおけるスタックバッファオーバーフ
注意喚起として掲載
ローの脆弱性9

2. ウェブサイトの脆弱性関連情報の取扱い
2.1 ウェブサイトの脆弱性の処理状況
ウェブサイトの脆弱性関連情報の届出について、処理状況を図 2-1 に示します。
図 2-1 に示すように、ウェブサイトの脆弱性については、今四半期中に処理を終了したものは 71 件（累計588 件）でした。このうち、「修正完了」したものは 53 件（累計 456 件）、ウェブサイト運営者により「脆弱性はない」と判断されたものは 7 件（累計 78 件）ありました。「修正完了」したものうちの 11 件（累計 102 件）はウェ
ブサイト運営者からの依頼を受け、当該脆弱性が適切に修正されたかどうかを IPA が確認しました。
このほか、「不受理」としたものが 16 件（累計 62 件）ありました。「連絡不可能」の届出のうち、16 件は修正されています。その中には、ウェブサイト運営者からの回答がないためレンタルサーバ会社と連絡を取り修正が確認できたサイト、脆弱箇所の記述が削除されていることが確認できたサイトがあります。また、14 件は、当該ページ自体が削除されており、脆弱性がなくなっていることを確認しています。メールや電話でウェブサイト運
営者と連絡が取れない場合は、郵送手段などでの連絡を試みています。
（括弧内の数字は、今四半期に「修正完了」、「脆弱性ではない」と判断されたもの等の件数）

取扱い終了：452件
2006年
9月末

351

63

14 24

39

42 合計661件

144

42

128

517件
2006年
12月末

403

71

16 27

修正確認 削除 未修正/
済み 1 61 4 不明 13

588件(71件)
2007年
3月末

修正完了

内確認済

102(11)78(7)456 (53)
脆弱性ではない0

合計749件

46

100

200

300

運用で回避
400

500

18

取扱い中

36

151

(2) (9)

43
(1)

合計
844件

当該ページを削除 連絡不可能 不受理
600

700

修正完了
脆弱性ではない
運用で回避
当該ページを削除
確認済： ウェブサイト運営者により脆弱性が修正されたもの： ウェブサイト運営者により脆弱性はないと判断されたもの： 修正はせず、運用により被害を回避しているもの： 修正ではなく当該ページを削除することで対応されたもの： 修正完了のうち、IPA が修正を確認したもの

取扱い中
連絡不可能
不受理

： ウェブサイト運営者が調査、対応中のもの： ウェブサイト運営者からの回答がなく、取扱いができないもの： 告示で定める届出の対象に該当しないもの

図 2-1.ウェブサイト各時点における脆弱性関連情報の届出の処理状況

10

62
(16)

800

900

2.2 ウェブサイトの脆弱性の種類と脅威届出受付開始から今四半期末までに IPA に届出られたウェブサイトの脆弱性関連情報 844 件のうち、不受理のものを除いた 782 件について、種類別内訳を図 2-2 に、種類別の届出件数の推移を図 2-3 に、脅威別内訳を図 2-4 に示します。

1%

1%

1%
1%
1%

1%
4%

クロスサイト・スクリプティング
SQLインジェクション
ファイルの誤った公開
DNS情報の設定不備
パス名パラメータの未チェック
HTTPレスポンス分割
メールの第三者中継
価格等の改ざんセッション管理の不備
ディレクトリ・トラバーサル
HTTPSの不適切な利用
クロスサイト・リクエスト・フォージェリ
フィルタリングの回避
オープンプロキシ
セキュリティ設定の不適切な変更
OSコマンドインジェクション
リダイレクタの不適切な利用
その他

1%
2%
2%
2%
2%
3%

43%
(43%)

3%(4%)
4%(4%)
5%(5%)
25%(23%)（782 件の内訳、グラフの括弧内は前四半期の数字）

図 2-2.ウェブサイトの脆弱性種類別内訳（届出受付開始から 2007 年 3 月末まで）3

100
90
80
70
60
50
40
30
20
10
0
3Q 4Q
2004

1Q 2Q
2005

3Q

4Q

1Q

2Q 3Q
2006

4Q

1Q
2007

その他
リダイレクタの不適切な利用
OSコマンドインジェクション
セキュリティ設定の不適切な変更
オープンプロキシ
フィルタリングの回避
クロスサイト・リクエスト・フォージェリHTTPSの不適切な利用ディレクトリ・トラバーサル
セッション管理の不備
価格等の改ざん
メールの第三者中継
HTTPレスポンス分割
パス名パラメータの未チェック
DNS情報の設定不備
ファイルの誤った公開
SQLインジェクション
クロスサイト・スクリプティング

図 2-3.ウェブサイトの脆弱性種類別件数の推移（届出受付開始から 2007 年 3 月末まで）3

3

それぞれの脆弱性の詳しい説明については付表 2 参照してください。
11

0.5%

0.3%

1%

1%
2%

本物サイト上への偽情報の表示
データの改ざん、消去
Cookie情報の漏洩
個人情報の漏洩
サーバ内ファイルの漏洩
なりすまし
ドメイン情報の挿入
ウェブキャッシュ情報のすり替え
メールシステムの不正利用
利用者のセキュリティレベルの低下
踏み台
任意のコマンドの実行
サーバ実装情報の漏洩
その他

25%(24%)

2%
3%
4%
4%
6%(6%)

10%(10%)24%(23%)
17%(18%)（782 件の内訳、グラフの括弧内は前四半期の数字）

図 2-4.ウェブサイトの脆弱性脅威別内訳（届出受付開始から 2007 年 3 月末まで）
今四半期も「クロスサイト・スクリプティング」が多く届出られ（図 2-3）、脆弱性の種類は「クロスサイト・スクリ
プティング」「SQL インジェクション」が全体の 7 割近くをしめます（図 2-2）。
「クロスサイト・スクリプティング」が多く届けられたことから脆弱性の脅威としては「本物サイト上への偽情報の表示」が増え、「SQL インジェクション」の脅威である「データの改ざん、消去」よりも多くなっています（図 2-4）。
ウェブサイト運営者は、引き続き脆弱性を作りこまないように注意してください。

2.3 ウェブサイトの脆弱性の修正状況
届出受付開始から 2007 年 3 月末までの届出について、ウェブサイト運営者に脆弱性の詳細情報を通知してから修正されるまでに要した日数およびその傾向を、脆弱性の種類別に図 2-5 および図 2-6 に示します。全体の 55%の届出が 30 日以内、全体の 81%の届出が 90 日以内に修正されています。
81%
90 日以内の修正件数の割合
2006/4Q まで
2007/1Q まで
80%
81%

80
その他(25件)
ディレクトリ・トラバーサル(5件)
セキュリティ設定の不適切な変更(5件)
メールの第三者中継(7件)
パス名パラメータの未チェック(6件)
クロスサイト・リクエスト・フォージェリ(6件)
HTTPSの不適切な利用(6件)ファイルの誤った公開(12件)セッション管理の不備(8件)
HTTPレスポンス分割(20件)
DNS情報の設定不備(28件)
SQLインジェクション(85件)
クロスサイト・スクリプティング(243件)

70
60

50
40

30
20

10
0
当日

1日

2日

3日

4日
〜5日

6日
〜10日

11日
〜20日

21日
〜30日

31日
〜50日

51日
91日
201日 301日〜〜90日 〜200日 〜300日

図 2-5.ウェブサイトの脆弱性修正に要した日数
12クロスサイト・スクリプティング(243件)
SQLインジェクション(85件)
DNS情報の設定不備(28件)
HTTPレスポンス分割(20件)セッション管理の不備(8件)
ファイルの誤った公開(12件)
HTTPSの不適切な利用(6件)
クロスサイト・リクエスト・フォージェリ(6件)
パス名パラメータの未チェック(6件)
メールの第三者中継(7件)
ディレクトリ・トラバーサル(5件)
セキュリティ設定の不適切な変更(5件)
他(25件)
全体(456件)
0%〜10日
91日〜200日

10%

11日〜20日
201日〜300日

20%

30%

40%

21日〜30日
301日〜

50%

60%

70%

31日〜50日

80%

90%

100%

51日〜90日

図 2-6.ウェブサイトの脆弱性修正に要した日数の傾向

3. 皆様へのお願い
脆弱性の修正を促進していくため、以下のとおり、ご注意ください。

(1)ウェブサイト運営者の皆様へ
多くのウェブサイトのソフトウェアに脆弱性が発見されています。自身のウェブサイトでどのようなソフトウェ
アを利用しているかを把握し、セキュリティ対策を実施してください。

(2)製品開発者の皆様へ
JPCERT/CC は、ソフトウェア製品の脆弱性関連情報について、整備している「製品開発者リスト」に基づき、一般公表日の調整等を行います。迅速な調整を進められるよう、「製品開発者リスト」への登録にご協力ください（URL：http://www.jpcert.or.jp/vh/）。また、製品開発者ご自身で脆弱性を発見、修正された場合も、利用者への対策情報の周知のために JVN を活用できます。IPA もしくは JPCERT/CC にご連絡下さい。

(3)一般インターネットユーザの皆様へ
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がけてください。脆弱性があるソフトウェアを使い続けることは避けましょう。
なお、脆弱性関連情報の適切な流通のために、発見者の皆様へも以下のとおりお願いします。

(4)発見者の皆様へ届出いただきました脆弱性関連情報は、脆弱性が修正されるまでの間は第三者に漏れぬよう適切に管理く
ださるようお願いします。

13

参考

付表 1. ソフトウェア製品 脆弱性の原因分類
届出において想定された脅威
アクセス制御の不備
アクセス制御を行うべき個所において、アクセス制 設定情報の漏洩
御が欠如している
通信の不正中継
なりすまし
任意のスクリプトの実行
認証情報の漏洩
ウェブアプリケーション ウェブアプリケーションに対し、入力された情報の内 アクセス制限の回避の脆弱性
容の解釈や認証情報の取扱い、出力時の処理に問 価格等の改ざん題がある。「クロスサイト・スクリプティング」攻撃や サービス不能「SQL インジェクション」攻撃などに利用されてしまう 資源の枯渇
重要情報の漏洩
情報の漏洩
セッション・ハイジャック
通信の不正中継
なりすまし
任意のコマンドの実行
任意のスクリプトの実行
任意のファイルへのアクセス
認証情報の漏洩仕様上の不備RFC 等の公開された規格に準拠して、設計、実装した結果、問題が生じるもの。プロトコル上の不備が サービス不能
資源の枯渇ある場合、ここに含まれる
脆弱性の原因

1

2

3

4

5

6

7

説明

証明書の検証に関する ウェブブラウザやメールクライアントソフトに証明書不備を検証する機能が実装されていない、または、検証 証明書の確認不能
が正しく行われずに、偽の証明書を受けいれてしま なりすましう
セキュリティコンテキスト 本来、厳しい制限のあるセキュリティコンテキストで アプリケーションの異常終了の適用の不備取り扱うべき処理を、緩い制限のセキュリティコンテ 情報の漏洩
キストで処理してしまう
任意のコードの実行
任意のスクリプトの実行
バッファのチェックの想定外の長さの入力が行われた場合に、長さをチェ サービス不能不備
ックせずバッファに入力してしまう。「バッファオーバ 任意のコードの実行
ーフロー」攻撃に利用されてしまう。
任意のコマンドの実行
ファイルのパス名、内容 処理の際のパラメータとして指定されているディレク
アプリケーションの異常終了のチェックの不備
トリ名やファイル名、ファイルの内容をチェックしていサービス不能ない。任意のディレクトリのファイルを指定できてしま
資源の枯渇
い、「ディレクトリ・トラバーサル」攻撃に利用されてし任意のファイルへのアクセスまう。また、破損したファイルや不正に書き換えられ認証情報の漏洩たファイルを処理した際に不具合が生じる

付表 2 ウェブサイト脆弱性の分類
脆弱性の種類

深刻度

1

ファイルの誤った公開高2

パス名パラメータの未チェック

高届出において想定された脅威
個人情報の漏洩
一般に公開すべきでないファイルが公開されて サーバ内ファイルの漏洩
おり、自由に閲覧できる状態になっている
データの改ざん、消去
なりすまし
ユーザからの入力を処理する際のパラメータとして指定されているファイル名を、ユーザが変サーバ内ファイルの漏洩
更し、ウェブサーバ上の任意のディレクトリのファイルを指定できてしまう
説明

14

脆弱性の種類3

ディレクトリ･トラバー
サル

深刻度

説明

届出において想定された脅威高ウェブサーバ上のディレクトリのアクセス権を超
個人情報の漏洩
えて、本来許可されている範囲外のディレクトリ
サーバ内ファイルの漏洩にアクセスできる4

セッション管理の不備

高セッション管理に、推測可能な情報を使用してCookie 情報の漏洩いるため、他のユーザの情報が容易に推測で個人情報の漏洩き、他のユーザになりすまして、サービスを利なりすまし用することができる

5

SQL インジェクション

高

入力フォームなどへ SQL コマンド（データベー 個人情報の漏洩
スへの命令）を入力し、データベース内の情報 サーバ内ファイルの漏洩の閲覧、更新、削除などができる
データの改ざん、消去

6

DNS 情報の設定不備

高

DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名の持ち主であ ドメイン情報の挿入
るかのようにふるまえてしまう

7

オープンプロキシ

中

8

クロスサイト･
スクリプティング

中9

クロスサイト・リクエスト・
フォージェリ中

10 HTTP レスポンス分割

中11

セキュリティ設定の不適切な変更中12

リダイレクタの不適切な利用

中

13 フィルタリングの回避

14

OS コマンドインジェクション

15 メールの第三者中継

中

中

低

外部の第三者により、他のサーバへのアクセスを中継するサーバとして利用され、不正アク
踏み台
セスなどの際にアクセス元を隠すための踏み台にされてしまう
Cookie 情報の漏洩
サーバ内ファイルの漏洩
ユーザの Cookie 情報を知らないうちに転送さ個人情報の漏洩せたり、偽の情報を表示させたりするような罠
データの改ざん、消去のリンクをユーザにクリックさせ、個人情報等をなりすまし盗むことができる
本物サイト上への偽情報の表示
ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそかにアクセスさデータの改ざん、消去
せ、登録情報の変更や商品の購入をさせることができる
攻撃者がユーザに対し、悪意のある要求をウェ
ブサーバに送信するように仕向けることで、ウ ウェブキャッシュ情報のェブサーバからの応答を分割させて応答内容 すり替えをすり替え、ユーザに対して偽のページを表示させることができる
ユーザに対し、ソフトウェアをインストールさせたり、ブラウザのセキュリティレベルを下げるよ 利用者のセキュリティレ
う指示することでクライアント PC のセキュリティ ベルの低下
設定を低下させる
ウェブサーバに設置したリダイレクタが悪意あ踏み台るリンクへの踏み台にされたり、そのウェブサイ
本物サイト上への偽情報
ト上で別のサイト上のページを表示させられての表示しまう
ウェブサイトのサービスやブラウザの機能とし利用者のセキュリティレ
て提供されているフィルタリング機能が回避さベルの低下れる問題。これにより、本来制限されるはずのなりすまし
ウェブページを閲覧してしまう
攻撃者がウェブアプリケーションを介してウェブサーバの OS コマンドを実行できてしまい、サ
任意のコマンドの実行
ーバ内ファイルの閲覧やシステム操作、不正なプログラムの実行などを行われてしまう
利用者が入力した内容を管理者が指定したメールアドレスに送信する機能で、外部の利用 メールシステムの不正利者が宛先メールアドレスを自由に指定できてし 用
まい、迷惑メール送信の踏み台に悪用される

15

脆弱性の種類

16

HTTPS の不適切な利用

17 価格等の改ざん

深刻度

届出において想定された脅威説明低HTTPS による暗号化をしているが、暗号の選択や設定が十分でなかったり、ウェブサイトでのユーザへの説明に間違いがある、または、 なりすまし
ウェブサイトの設計上、ユーザから証明書が確
認できない

低

ショッピングサイトにおいて、価格情報等が利用者側で書き換えられる。書き換えによる被害 データの改ざん
は、ウェブサイト側に限定される・API : Application Program Interface、・DNS : Domain Name System、・CGI : Common Gateway Interface、・HTTP : Hypertext Transfer Protocol、・HTTPS : Hypertext Transfer Protocol Security、・ISAKMP : Internet Security Association Key Management Protocol、・MIME : Multipurpose Internet Mail Extension、・RFC: Request For Comments、・SQL : Structured Query Language、・SSI : Server Side Include、・SSL : Secure Socket Layer、・TCP : Transmission Control Protocol、・URI : Uniform Resource Identifier、・URL : Uniform Resource Locator

付図１．「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み）【受付機関】
受付機関】【調整機関】
調整機関】

報告された 脆弱性関連情報通知 公表日の決定，
脆弱性
関連情報の
海外の調整機関
内容の確認
との連携

【分析機関
】
分析機関】
報告された
脆弱性
関連情報の
検証

発見者

対応状況
の集約，
公表日の
調整等

システム導入支援者等

JPCERT/CC

ソフト開発者等

ソフトウエア製品の脆弱性

脆弱性関連
情報届出

IPA

IPA, JPCERT/CC
対策情報ポータル
（JVN）
対応状況
等公表

ユーザ
政府
企業
個人

セキュリティ対策推進協議会等

ウェブアプリケーション（
ウェブサイト）の脆弱性【分析支援機関】

産総研など
脆弱性関連
情報届出

脆弱性関連情報通知

ウェブサイト
運営者

個人情報の漏えい時は事実
関係を公表

検証，対策実施①製品開発者及びウェブサイト運営者による脆弱性対策を促進【期待効果】 ②不用意な脆弱性関連情報の公表や脆弱性の放置を抑制③個人情報等重要情報の流出や重要システムの停止を予防※IPA：独立行政法人 情報処理推進機構、JPCERT/CC：有限責任中間法人 JPCERT コーディネーションセンター、産総研：独立行政法人 産業技術総合研究所

16