Japan Computer Emergency
Response Team Coordination
Center

電子署名者 : Japan Computer Emergency
Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku,
email=office@jpcert.or.jp, o=Japan Computer
Emergency Response Team Coordination
Center, cn=Japan Computer Emergency
Response Team Coordination Center
日付 : 2015.04.23 12:55:20 +09'00'

ソフトウェア等の脆弱性関連情報の取扱いに関する活動報告レポート[2015 年第 1 四半期（1 月～3 月）]
ソフトウェア等の脆弱性関連情報の取扱いに関する活動報告レポートについて
日本における公的な脆弱性関連情報の取扱制度である「情報セキュリティ早期警戒
パートナーシップ（本報告書では本制度と記します）」は、「ソフトウエア等脆弱性関連情報取扱基準（2004 年経済産業省告示第 235 号改め、2014 年経済産業省告示第 110号）」に基づき、2004 年 7 月より運用されています。本制度において、独立行政法
人情報処理推進機構（以下、IPA）と一般社団法人 JPCERT コーディネーションセ
ンター（以下、JPCERT/CC）は、脆弱性関連情報の届出の受付や脆弱性対策情報の公表に向けた調整などの業務を実施しています。
本レポートでは、2015 年 1 月 1 日から 2015 年 3 月 31 日までの間に実施した、脆
弱性関連情報の取扱いに関する活動及び脆弱性の傾向について紹介しています。

独立行政法人情報処理推進機構 技術本部 セキュリティセンター
一般社団法人 JPCERT コーディネーションセンター
2015 年 4 月 23 日

目次
1. 2015 年第 1 四半期

ソフトウェア等の脆弱性関連情報に関する届出受付状況 ........... 1

1-1. 脆弱性関連情報の届出受付状況 ........................................................................................... 1
1-2. 脆弱性の修正完了状況.......................................................................................................... 2
1-3. 連絡不能案件の取扱状況 ...................................................................................................... 2
1-4. 脆弱性の傾向について.......................................................................................................... 3
2. ソフトウェア等の脆弱性に関する取扱状況（詳細） ................................. 5
2-1. ソフトウェア製品の脆弱性 .................................................................................................. 5
2-1-1. 処理状況......................................................................................................................... 5
2-1-2. ソフトウェア製品別届出件数........................................................................................ 6
2-1-3. 脆弱性の原因と影響別件数 ........................................................................................... 7
2-1-4. 調整および公表件数 ...................................................................................................... 9
2-1-5. 連絡不能案件の処理状況 ............................................................................................. 16
2-2. ウェブサイトの脆弱性........................................................................................................ 17
2-2-1. 処理状況....................................................................................................................... 17
2-2-2. 運営主体の種類別の届出件数...................................................................................... 18
2-2-3. 脆弱性の種類・影響別届出 ......................................................................................... 18
2-2-4. 修正完了状況 ............................................................................................................... 19
2-2-5. 取扱中の状況 ............................................................................................................... 22
3. 関係者への要望 ...............................................................23
3-1. ウェブサイト運営者 ........................................................................................................... 23
3-2. 製品開発者 .......................................................................................................................... 23
3-3. 一般のインターネットユーザー ......................................................................................... 23
3-4. 発見者 ................................................................................................................................. 23
付表 1. ソフトウェア製品の脆弱性の原因分類 ........................................24
付表 2. ウェブサイトの脆弱性の分類 ................................................25
付図１．
「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報の取扱制度） .....26

1. 2015 年第 1 四半期 ソフトウェア等の脆弱性関連情報に関する届出受付状況
1-1. 脆弱性関連情報の届出受付状況～ 脆弱性の届出件数の累計は 10,898 件 ～表 1-1 は本制度（*1）における届出状況について、2015 年第 1 四半期の脆弱性関連情報（以降「脆弱性」）の届出件数および届出受付開始（2004

表 1-1．届出件数

年 7 月 8 日）から今四半期までの累計を示して分類います。今期のソフトウェア製品に関する届出

ソフトウェア製品

84 件

2,034 件件数は 84 件、ウェブサイト（ウェブアプリケー

ウェブサイト161 件

8,864 件

245 件

10,898 件

ション）に関する届出は 161 件、合計 245 件で

今期件数

合計

累計

した。届出受付開始からの累計は 10,898 件で、内訳はソフトウェア製品に関するもの 2,034 件、ウェブサイトに関するもの 8,864 件でウェブサ
イトに関する届出が全体の 81%を占めています。
図 1-1 のグラフは過去 3 年間の届出件数の四半期ごとの推移を示したものです。今四半期は、
ソフトウェア製品に関する届出が前四半期とほぼ同じ件数、ウェブサイトに関する届出が前四半期の約 4 割に減少しました。表 1-2 は過去 3 年間の四半期ごとの届出の累計および 1 就業日あたりの届出件数の推移です。今四半期の 1 就業日あたりの届出件数は 4.17（*2）件でした。
ソフトウェア製品
ソフトウェア製品（累計）

四半期件数
400件
300件

6,370 6,525 6,701 6,914

ウェブサイトウェブサイト（累計）7,099 7,366

累計件数

7,585 7,730 8,018 8,311

8,703 8,864

200件
100件
0件

1,382 1,423 1,467 1,521 1,568

1,660 1,741 1,786 1,826 1,865 1,950

2,034

46 124 41 155 44 176 54 213 47 185 92 267 81 219 45 145 40 288 39 293 85 392 84 161

2Q
2012

3Q

4Q

1Q
2013

2Q

3Q

4Q

1Q
2014

2Q

3Q

4Q

1Q
2015

2Q

3Q

10,000件
9,000件
8,000件
7,000件6,000件
5,000件
4,000件
3,000件
2,000件
1,000件
0件

図1-1．脆弱性の届出件数の四半期ごとの推移

表 1-2．届出件数（過去 3 年間）
2012
2Q
累計届出件数[件]
１就業日あたり[件/日]

3Q

4Q

2013
1Q

2Q

3Q

4Q

2014
1Q

4Q

2015
1Q

7,752 7,948 8,168 8,435 8,667 9,026 9,326 9,516 9,844 10,176 10,653 10,898
4.00

3.98

3.78

3.96

3.96

（ *1）

4.00

4.03

4.01

4.04

4.07

情報セキュリティ早期警戒パートナーシップガイドライン
https://www.ipa.go.jp/security/ciadr/partnership_guide.html
https://www.jpcert.or.jp/vh/index.html（ *2）
1 就業日あたりの届出件数は、「累計届出件数」/「届出受付開始からの就業日数」にて算出

1

4.17

4.17

1-2. 脆弱性の修正完了状況～ ソフトウェア製品およびウェブサイトの修正件数は累計 7,194 件～
表 1-3 は今四半期と届出受付開始から今四半期ま

表 1-3．修正完了件数でのソフトウェア製品とウェブサイトの修正完了件

分類数を示しています。ソフトウェア製品の場合、修正

ソフトウェア製品

41 件

1,000 件が完了すると JVN に公表しています（回避策の公表

ウェブサイト253 件

6,194 件

294 件

7,194 件のみでプログラムの修正をしていない場合を含む）。

今期件数

合計

累計

今四半期に JVN 公表したソフトウェア製品の件数
は 41 件（*3）（累計 1,000 件）でした。そのうち、4 件が製品開発者による自社製品の脆弱性の届出でした。また、届出を受理してから JVN 公表までの日数が 45 日（*4）以内だったのは 9 件（22%）
でした。
また、修正完了したウェブサイトの件数は 253 件（累計 6,194 件）でした。これらは届出を受け、IPA がウェブサイト運営者に通知を行い、今四半期に修正を完了したものです。修正を完了した 253 件のうち、ウェブアプリケーションを修正したものは 183 件（72%）、当該ページを削除したものは 70 件（28%）
、運用で回避したものは 0 件でした。なお、修正を完了した 253 件のうちウェブサイト運営者へ脆弱関連情報を通知してから 90 日（*5）以内に修正が完了したのは 202
件
（80%）
でした。
今四半期は、
90 日以内に修正完了した割合が、前四半期（163 件中 110 件（67%））
より増加しています。

1-3. 連絡不能案件の取扱状況
本制度では、連絡が取れない製品開発者を「連絡不能開発者」と呼び、連絡の糸口を得るため、当該製品開発者名等を公表して情報提供を求めています（*6）。製品開発者名を公表後、3 ヵ月経過
しても製品開発者から応答が得られない場合は、製品情報（対象製品の具体的な名称およびバージョン）を公表します。それでも応答が得られない場合は、情報提供の期限を追記します。情報
提供の期限までに製品開発者から応答がない場合は、当該脆弱性情報の公表に向け、「情報セキュ
リティ早期警戒パートナーシップガイドライン」に定められた公表条件を満たしているかを公表
判定委員会（*7）で審議します。公表が適当と判定された脆弱性情報は JVN に公表されます。
今四半期に新たに製品開発者名を公表したものはなく、製品開発者と連絡が取れたため調整を再開した 3 件を削除しました。2015 年 3 末時点の連絡不能開発者の累計公表件数は 160 件、その内製品情報を公表しているものは 143 件となりました。

（ *3）

P.10 表 2-3 参照
JVN 公表日の目安は、脆弱性の取扱いを開始した日時から起算して 45 日後としています。
（ *5）
対処の目安は、ウェブサイト運営者が脆弱性の通知を受けてから、3 ヶ月以内としています。
（ *6）
連絡不能開発者一覧：https://jvn.jp/reply/index.html（ *7）
連絡不能案件の脆弱性情報を公表するか否かを判定するために IPA が組織する。法律、情報セキュリティ、
当該ソフトウェア製品分野の専門的な知識経験を有する専門家、かつ、当該案件と利害関係のない者で構成
される。
（ *4）

2

1-4. 脆弱性の傾向について
WordPress プラグイン、テーマの脆弱性に注意～セキュリティパッチの適用は CMS 本体だけではない！～2015 年第 1 四半期は、41 件の脆弱性対策情報が JVN に公表されました。そのうち 6 件は CMS（Content Management System）の一種である「WordPress」の機能を拡張する部品ともいえる、「プラグイン」や「テーマ」というソフトウェアに作りこまれた脆弱性でした（表 1-4）。この 6
件の中にはウェブ改ざんや情報漏えいにつながる可能性のある SQL インジェクションの脆弱性
や、CAPCHA というウェブサイトへのアクセスが人間かを判別する画像認証機能が回避されてしまう脆弱性などがありました。
表 1-4．2015 年第 1 四半期 JVN 公表一覧
JVN 公表日JVN 番号

2015/3/31

JVN#75615300

2015/3/26

JVN#97281747

2015/3/6

JVN#87204433

2015/3/6

JVN#30832515

2015/3/3

JVN#55063777

2015/3/3

JVN#93727681

CVSS
基本値

脆弱性
WordPress 用プラグイン「All in One SEO Pack」における情報管理不備の脆弱性
WordPress 用テーマ「flashy」におけるクロスサイト・スクリプティングの脆
弱性
WordPress 用プラグイン「All In One WP Security & Firewall」におけるクロス
サイト・リクエスト・フォージェリの脆弱性
WordPress 用プラグイン「All In One WP Security & Firewall」における SQL イ
ンジェクションの脆弱性
WordPress 用プラグイン「Google Captcha (reCAPTCHA) by BestWebSoft」における CAPTCHA 保護メカニズムを回避される脆弱性
WordPress 用プラグイン「Captcha」における CAPTCHA 保護メカニズムを回避される脆弱性

5.0
4.3
2.6
5.1
5.0
5.0

「WordPress プラグイン」は、「WordPress」で作成したウェブサイトのカスタマイズ・機能強化等を支援するソフトウェアです。また、「WordPress テーマ」は、ウェブサイトの見栄えや構成を容易に変更出来るソフトウェアです。このような 「プラグイン」や「テーマ」などの“拡張機能”を提供するソフトウェアは、不特定の第三者（CMS 製品開発者以外）により自由に開発されて提供されています。そのため、安全性への配慮が十分でない場合“拡張機能”に脆弱性が作
りこまれてしまうことがあります。下記は 2014 年 1 月以降 JVN iPedia に登録された、CMS 本
体とその“拡張機能”の脆弱性対策情報を四半期毎に集計したものです（図 1-2）。今四半期までの合計は 440 件で、そのうち 90%に相当する 398 件が CMS の“拡張機能”の脆弱性対策情報でした。
150

CMS本体（WordPress、Movable Type、Drupal、Joomla!）
拡張機能

100

146
65

50

85

48
0

7
1Q

54
3

18

13

1

2Q

3Q

4Q

1Q

図1-2. JVN iPedia に登録されたCMSに関する脆弱性対策情報（2014年1月～2015年3月）

3このように利用者の多い“拡張機能”に脆弱性があった場合、それを使用して作成したウェブサイトには脆弱性が作りこまれてしまい悪意ある第三者によりウェブサイトが改ざんされたり、重要な情報が窃取されたりする可能性があります。一部の報道や警察庁（*8）によると、2015 年 3月に国内で発生したウェブサイト改ざんの中には「WordPress プラグイン」の脆弱性が悪用された被害がありました。この被害の発生した「プラグイン」 には 2015 年 2 月に最新版が配布されていましたので、このサイトに最新版が適用されていなかった可能性があります。
当事者はそれぞれ下記の通り、安全なソフトウェアに求められる作業を実施してください。
■ “拡張機能”等ソフトウェアの製品開発者
・脆弱性を作りこまないよう、安全性を考慮した開発を行う・作成した“拡張機能”が CMS 本体に脆弱性を作りこんでしまわないかを検証する・脆弱性が発見された場合は、迅速に修正する
・修正パッチを利用者に向けて配布、告知し、アップデートを促す■ CMS および CMS“拡張機能”の利用者
・使用している CMS および CMS の“拡張機能”等、ソフトウェアの把握する・使用しているソフトウェアの脆弱性対策情報の収集する・使用していないソフトウェアの削除する・“拡張機能”を使用し作成したウェブサイトに脆弱性が作りこまれていないかを検証する
・最新版へのアップデートする（ *8）「Islamic State（ISIS）」と称する者によるウェブサイト改ざんについて
http://www.npa.go.jp/keibi/biki/201503kaizan.pdf「Islamic State（ISIS）」と称する者によるウェブサイト改ざんに係る注意喚起について
http://www.npa.go.jp/cyberpolice/detect/pdf/20150312.pdf

4

2. ソフトウェア等の脆弱性に関する取扱状況（詳細）2-1. ソフトウェア製品の脆弱性
2-1-1. 処理状況
図 2-1 のグラフはソフトウェア製品の脆弱性届出の処理状況について、四半期ごとの推移を示しています。2015 年 3 月末時点の届出の累計は 2,034 件で、今四半期に脆弱性対策情報を JVN
公表したものは 41 件（累計 1,000 件）でした。また、製品開発者が JVN 公表を行わず「個別対応」したものは 0 件（累計 33 件）、製品開発者が「脆弱性ではない」と判断したものは 0 件（累計 75 件）、「不受理」としたものは 7 件（*9）（累計 279 件）、取扱い中は 647 件でした。647 件のうち、連絡不能開発者（*10）一覧へ新たに公表したものは 0 件で、2015 年 3 月末時点の累計は 160
件になりました。
657
2014年
3月末

851件

28 70

2014年
6月末

880件

28 73

2014年
9月末

925件

592

245

254

29 74

260

合計 1,786

591

合計 1,826

577

合計 1,865

1,339
2014年
12月末

959件 [58%]

33 75

272

611
連絡不能開発者 163

合計 1,950

取扱い終了811
1,387(51)
取扱い終了
(40)

公表済み 1,000件 [57%]

2015年
3月末

個別対応 33(0)

0

200

400

600

800

75 不受理(0)279 (7)

取扱い中 647
連絡不能開発者 160(0)

合計 2,034

1,000 1,200 1,400 1,600 1,800 2,000（ ）内の数値は今四半期に処理を終了もしくは連絡不能開発者となった件数

取扱い終了

公表済み

：JVN で脆弱性への対応状況を公表したもの

個別対応：JVN 公表を行わず、製品開発者が個別対応したもの

脆弱性ではない：製品開発者により脆弱性ではないと判断されたもの

不受理：告示で定める届出の対象に該当しないもの

取扱い中：製品開発者が調査、対応中のもの

連絡不能開発者：取扱い中のうち、連絡不能開発者一覧にて公表中のもの

図 2-1. ソフトウェア製品脆弱性の届出処理状況（四半期ごとの推移）（ *9）

内訳は今四半期の届出によるもの 2 件、前四半期までの届出によるもの 5 件。
連絡不能開発者一覧への公表および一覧からの削除が複数回行われた製品開発者の公表回数は、その累計を計上しています。

（ *10）

5

以下に、今までに届出のあったソフトウェア製品の脆弱性 2,034 件のうち、不受理を除いた
1,755 件の届出を分析した結果を記載します。
2-1-2. ソフトウェア製品別届出件数
図 2-2、2-3 のグラフは、届出された製品の分類です。図 2-2 は製品種類別割合を、図 2-3 は過去 2 年間の届出件数の推移を四半期ごとに示したものです。
累計では、「ウェブアプリケーションソフト」が最も多く 39%となっています。今四半期の届出件数で最も多いのも「ウェブアプリケーションソフト」で、次いで「アプリケーション開発・実行環境」となっています。また、スマートフォンやタブレットなどのスマートデバイス向けのアプリの割合が増加したため、今四半期より「スマートフォン向けアプリ（* 11）」という分類を新設し、過去の届出を分類し直しました。
ソフトウェア製品の製品種類別の届出状況
ウェブアプリケーションソフト
スマートフォン向けアプリ
ウェブブラウザ
アプリケーション開発・実行環境
ルータ
グループウェア
OS
メールソフトシステム管理ソフト
ファイル管理ソフト
アンチウイルスソフト
その他

90件
80件

39%
(37%)

13%
2%
2%
2%
2%
4%

70件
60件
50件
40件
30件

6%
6%
(7%)

20件
10件

6%
(7%)

7%
(9%)

11%

※その他には、データベース、携帯機器などがあります。
( 1,755件の内訳、グラフの括弧内は前四半期までの数字)

0件
2Q 3Q
2013

4Q

1Q 2Q
2014

3Q

4Q

1Q
2015

( 過去2年間の届出内訳)

図2-3．四半期ごとの製品種類別届出件数

図2-2．届出累計の製品種類別割合

図 2-4、2-5 のグラフは、届出された製品のライセンスを「オープンソースソフトウェア」（OSS）と「それ以外」で分類しています。図 2-4 は届出累計の分類割合を、図 2-5 は過去 2 年間の届出件数の推移を四半期ごとに示したものです。
累計では、オープンソースソフトウェアが 31%を占めています。オープンソースソフトウェアの件数は 10 件前後で推移してきましたが、今四半期は 36 件と急増しました。これは、同一のソ
フトウェア製品に複数の脆弱性が届出されたためです。

（ *11）「スマートフォン向けアプリ」は、「iOS」、「Android OS」上で動作するアプリを集計しています。

6

オープンソースソフトウェアの脆弱性の届出状況
オープンソースソフトウェア

2

それ以外

31%
(30%)

15

76

65

7
32

26

69%
(70%)

12

9

2Q 3Q
2013

4Q

13

36

66
46

9

23 17

1Q 2Q
2014

3Q

4Q

1Q
2015

90件
80件
70件
60件
50件
40件
30件
20件
10件
0件

(過去2年間の届出内訳)（1,755件の内訳、グラフの括弧内は前四半期までの数字）

図2-4．届出累計のオープンソースソフトウェア割合

図2-5．四半期ごとのオープンソースソフトウェア
届出件数

2-1-3. 脆弱性の原因と影響別件数
図 2-6、2-7 のグラフは、届出された脆弱性の原因を示しています。図 2-6 は届出累計の脆弱性の原因別割合を、図 2-7 は過去 2 年間の原因別の届出件数の推移を四半期ごとに示しています。
累計では、「ウェブアプリケーションの脆弱性」が過半数を占めています。また、今四半期の届出件数は「その他実装上の不備」が最多でした。これは、DLL の読み込みに関する脆弱性（* 12） や署名検証の回避に関する脆弱性が多く届出られたためです。

ソフトウェア製品の脆弱性の原因別の届出状況
ウェブアプリケーションの脆弱性
ファイルのパス名、内容のチェックの不備
バッファのチェックの不備
仕様上の不備アクセス制御の不備証明書の検証に関する不備
その他実装上の不備 （※）

90件
80件
70件

23%

60件

52%
(53%)

3%

50件
40件

その他ウェブに関連する不備※その他実装上の不備には、
セキュアコンテキストの提供の不備やサービス運用妨害などがあります。

30件

2%
3%(3%)
4% (4%)
5%(5%)

20件
10件
0件
2Q 3Q
2013

8%
(8%)

4Q

1Q 2Q
2014

(1,755件の内訳、グラフの括弧内は前四半期までの数字)

3Q

4Q

1Q
2015

(過去2年間の届出内訳)

図2-6．届出累計の脆弱性の原因別割合

図2-7．四半期ごとの脆弱性の原因別届出件数

図 2-8、2-9 のグラフは、届出された脆弱性がもたらす影響を示しています。図 2-8 は届出累計の影響別割合を、
図 2-9 は過去 2 年間の影響別届出件数の推移を四半期ごとに示しています。
累計では「任意のスクリプトの実行」が最も多く、次いで「情報の漏洩」となっています。今四半期も、「任意のスクリプト実行」が最も多く、次いで「任意のコードの実行」が多く届出されました。なお、2013 年第 3、第 4 四半期に「その他」が多いのは、「ファイルのパス名、
内容のチェックの不備」によりもたらされる影響が「その他」に分類されたためです。

（ *12）

Windows プログラムの DLL 読み込みに脆弱性：https://jvn.jp/vu/JVNVU707943/

7ソフトウェア製品の脆弱性がもたらす影響別の届出状況
任意のスクリプトの実行

90件

情報の漏洩

80件

任意のコードの実行
なりすまし
サービス不能アクセス制限の回避

2%
3%
4%

データベースの不正操作

5%

その他

7%
(7%)

任意のファイルへのアクセス
任意のコマンドの実行

70件

36%
(37%)

14%

60件
50件
40件
30件
20件
10件

7%
(8%)

9%
(8%)

13%
(11%)

(1,755件の内訳、グラフの括弧内は前四半期までの数字)

図2-8．届出累計の脆弱性がもたらす影響別割合

8

2Q 3Q
2013

4Q

1Q 2Q
2014

3Q

4Q

1Q
2015

0件

(過去2年間の届出内訳)

図2-9．四半期ごとの脆弱性がもたらす影響別
届出件数

2-1-4. 調整および公表件数
JPCERT/CC は、本制度に届け出られた脆弱性情報のほか、海外の製品開発者や CSIRT などか
らも脆弱性情報の提供を受けて、国内外の関係者と脆弱性対策情報の公表に向けた調整を行っています（*13）。これらの脆弱性に対する製品開発者の対応状況は、IPA と JPCERT/CC が共同運営している脆弱性対策情報ポータルサイト JVN（Japan Vulnerability Notes）（URL：https://jvn.jp/ ）に公表しています。表 2-1、図 2-10 のグラフは、公表件数を情報提供元別に集計し、今四半期の公表件数、過去 3 年分の四半期ごとの公表件数の推移等を示したものです。
表 2-1．脆弱性の提供元別 脆弱性公表件数

情報提供元
今期件数
累計
国内外の発見者からの届出、製品開発者から自社製品の届出を受け①
41 件 1,000 件
JVN で公表した脆弱性② 海外 CSIRT 等から脆弱性情報の提供を受け JVN で公表した脆弱性
36 件 1,205 件
合計
77 件 2,205 件
国内外の発見者からの届出
国内外の発見者からの届出(累計)

四半期件数

80件
70件
60件
50件
40件
30件
20件
10件
0件

692

667

639

945

722

759

1,008 1,061

973

851

819

785

1,100 1,138
880

1,169 1,205

1,200件
1,000件

1000

959

925

累計件数

800件
600件
400件

33 36 28 39 25 43 30 34 37 37 26 28
2Q
2012

（1）

874

831

792

908

海外のCSIRTからの連絡
海外のCSIRTからの連絡（累計）

3Q

4Q

1Q
2013

2Q

34

3Q

200件

35 32 53 29 39 45 38 34 31 41 36

4Q

1Q
2014

2Q

3Q

4Q

0件

1Q
2015

図2-10．ソフトウェア製品の脆弱性対策情報の公表件数

国内外の発見者および製品開発者から届出を受け JVN で公表した脆弱性

届出受付開始から今四半期までに対策情報を JVN 公表した脆弱性（1,000 件）について、図 2-11
は受理してから JVN 公表するまでに要した日数を示したものです。45 日以内は 32%、45 日を超過した件数は 68%でした。表 2-2 は過去 3 年間において 45 日以内に JVN 公表した件数の割合推移を四半期ごとに示したものです。製品開発者は脆弱性が悪用された場合の影響を認識し、迅速な対策を講じる必要があります。
(

全体（1,000件)

以内

表)

90件

76件

70件

86件

199件

0～
10日

11～
20日

21～
30日

31～45日46～100日

10%

20%

30%

0%
0日～10日

11日～20日

21日～30日

40%

131件

50%

31日～45日

62件

101～200日

60%

46日～100日

286件
201～
300日

70%

301日～

80%

101日～200日

90%

100%

201日～300日

301日～

図2-11．ソフトウェア製品の脆弱性公表日数

表 2-2．45 日以内に JVN 公表した件数の割合推移（四半期ごと）
2012
2Q

3Q

4Q

2013
1Q

2Q

3Q

4Q

2014
1Q

2Q

3Q

4Q

2015
1Q

34%

35%

34%

33%

33%

33%

34%

34%

34%

33%

33%

32%

（ *13）JPCERT/CC 活動概要 Page15～21（https://www.jpcert.or.jp/pr/2015/PR20150416.pdf）を参照下さい。

9表 2-3 は国内の発見者および製品開発者から受けた届出 41 件について、今四半期に JVN 公表した脆弱性を深刻度別に示しています。オープンソースソフトウェアに関する脆弱性が 12 件（表2-3 の*1）、製品開発者自身から届けられた自社製品の脆弱性が 3 件（表 2-3 の*2）、複数開発者・製品に影響がある脆弱性が 1 件（表 2-3 の*3）、組込みソフトウェア製品の脆弱性が 4 件（表 2-3の*4）ありました。
表 2-3．2015 年第 1 四半期に JVN で公表した脆弱性
項番脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値

脆弱性の深刻度=レベル III（危険）、CVSS 基本値=7.0～10.0「shiromuku(bu2)BBS」における 掲示板ソフト「shiromuku(bu2)BBS」には、任任意のファイルを作成される脆 意のファイルを作成される脆弱性が存在しまし 2015
弱性た。このため、サーバ上に任意のファイルを作 年 1 月
成され、結果として任意のコードを実行される 23 日
可能性がありました。

7.5

サイボウズ「リモートサービスマ 管理ソフト「リモートサービスマネージャー」
ネージャー」におけるサービス運 には、サービス運用妨害(DoS)の脆弱性がありま 2015
2
用妨害(DoS)の脆弱性した。このため、第三者により稼働するサーバ 年 1 月（*2）のリソースが枯渇させられる可能性がありまし 30 日
た。

7.1

3

「C-BOARD Moyuku」における 掲示板ソフト「C-BOARD Moyuku」には、任意任意のファイルを作成される脆 のファイルを作成される脆弱性が存在しまし2015
弱性た。このため、サーバ上に任意のファイルを作 年 2 月
成され、結果として任意のコードを実行される 17 日
可能性がありました。

7.5

4「Joyful Note」におけるファイル 掲示板ソフト「Joyful Note」には、ファイル操2015
操作に関する脆弱性
作に関する脆弱性が存在しました。このため、
年2月
第三者によりサーバ上の任意のファイルを作成
27 日
または削除される可能性がありました。

7.5

1

5

「MP Form Mail CGI
eCommerce 版」におけるコー
ド・インジェクションの脆弱性

メールフォーム CGI「MP Form Mail CGI
eCommerce 版」には、コード・インジェクショ 2015
ンの脆弱性が存在しました。このため、サーバ 年 3 月
上で、任意の Perl コードを実行される可能性が 20 日ありました。

7.5

脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.0～6.9
シンクグラフィカ製「ダウンロー ダウンロード数をカウント・解析する CGI「ダドログ CGI」におけるディレクト ウンロードログ CGI」には、ファイル名の処理
2015
リ・トラバーサルの脆弱性に問題があり、ディレクトリ・トラバーサルの年1月
脆弱性が存在しました。このため、遠隔の第三19 日者によって、サーバ上の任意のファイルを取得される可能性がありました。

5.0「NP-BBRM」における UPnP に 有線 LAN ルータ「NP-BBRM」には、UPnP に2015
関する脆弱性
関する脆弱性がありました。このため、第三者
7
年1月
（*4）
により踏み台として DDoS 攻撃に悪用される可26 日
能性がありました。

5.0

複数の ASUS 製無線 LAN ルータ ASUS JAPAN が提供する複数の無線 LAN に OS
2015
における OS コマンド・インジェ コマンド・インジェクションの脆弱性がありま
8年1月（*4） クションの脆弱性した。このため、第三者により任意のコマンド
27 日を実行されたりする可能性がありました。

5.2

6

10

項番

脆弱性
複数の VMware 製品における任意のファイルが上書きされる脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値

複数の VMware 製品には、仮想マシンの設定フ
ァイルを変更可能なユーザによって、ホスト OS
2015
上の任意のファイルが上書きされてしまう脆弱年1月
性が存在しました。このため、結果として、ホ
29 日
スト OS 上での権限を昇格されるなどの可能性がありました。

6.0

10「Fumy News Clipper」における ブログツール「Fumy News Clipper」には、ウェ2015
クロスサイト・スクリプティング ブページを出力する際の処理に問題がありまし年1月の脆弱性た。このため、第三者によりウェブページにス
30 日
クリプトを埋め込まれる可能性がありました。

4.3

11

「shiromuku(u1)GUESTBOOK」 掲示板ソフト「shiromuku(u1)GUESTBOOK」ににおけるクロスサイト・スクリプ は、ウェブページを出力する際の処理に問題が 2015
ティングの脆弱性ありました。このため、第三者によりウェブペ 年 2 月ージにスクリプトを埋め込まれる可能性があり 5 日
ました。

4.3

12

「PerlTreeBBS」におけるクロス 掲示板ソフト「PerlTreeBBS」には、ウェブペー
2015
サイト・スクリプティングの脆弱 ジを出力する際の処理に問題がありました。こ
年2月
性のため、第三者によりウェブページにスクリプ
10 日
トを埋め込まれる可能性がありました。

5.0

13

「スマホ通帳」における SSL サ オンラインバンキングソフト「スマホ通帳」に2015
ーバ証明書の検証不備の脆弱性 は、SSL サーバ証明書の検証不備の問題があり年2月ました。このため、中間者攻撃による暗号通信
13 日の盗聴などが行われる可能性がありました。

4.0「Saurus CMS Community Edi- コンテンツ管理システム「Saurus CMS Comtion」におけるクロスサイト・ス munity Edition」には、ウェブページを出力する 201514
クリプティングの脆弱性際の処理に問題がありました。このため、第三 年 2 月（*1）
者によりウェブページにスクリプトを埋め込ま 17 日れる可能性がありました。

4.3

9

プロキシサーバ「Squid」には、HTTP ヘッダを出力する際の処理に問題がありました。このた 2015
め、第三者により偽の情報が表示させられる可 年 2 月
能性や任意のスクリプトが実行されてしまう可 20 日
能性がありました。

4.3

16「AL-Mail32」におけるディレク メールクライアントソフト「AL-Mail32」には、トリ・トラバーサルの脆弱性
ディレクトリ・トラバーサルの脆弱性がありま 2015
した。このため、第三者によりファイルを作成 年 2 月
されたり既存のファイルを上書きされたりする 20 日
可能性がありました。

4.3

17

「AL-Mail32」におけるサービス メールクライアントソフト「AL-Mail32」には、運用妨害(DoS)の脆弱性
添付ファイルの処理に問題がありました。この 2015
ため、ファイル名を細工された添付ファイルを 年 2 月
処理することで、当該製品を応答不能な状態に 20 日される可能性がありました。

4.3

18

「AL-Mail32」におけるバッファ メールクライアントソフト「AL-Mail32」には、オーバーフローの脆弱性
添付ファイルの処理に問題がありました。この 2015
ため、ファイル名を細工された添付ファイルを 年 2 月
処理することで、任意のコードを実行される可 20 日
能性がありました。

6.8

15
（*1）

「Squid」における HTTP ヘッダ・インジェクションの脆弱性

11

項番

脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値

19

Speed Software 製「Root ExAndroid 用ファイル管理ソフト「Root Explorer」
plorer」および「Explorer」にお および「Explorer」には、ディレクトリ・トラバ 2015
けるディレクトリ・トラバーサル ーサルの脆弱性がありました。このため、第三 年 2 月の脆弱性者によりファイルを作成されたり既存のファイ 24 日
ルを上書きされたりする可能性がありました。

4.3

20

シンクグラフィカ製メールフォ メールフォーム「メールフォームプロ CGI 」は2015
ームプロ CGI において任意のコ メール送信処理に問題がありました。このため、
年2月
任意のコードが実行される可能性がありましードを実行される脆弱性
25 日
た。

6.8

「checkpw」におけるサービス運 パスワード認証プログラム「checkpw」には、サ
2015
ービス運用妨害(DoS)の脆弱性がありました。こ21 用妨害(DoS)の脆弱性
年2月（*1）のため、第三者により稼働するサーバのリソー
27 日
スが枯渇させられる可能性がありました。

5.0

KENT-WEB 製「Clip Board」にお 掲示板ソフト「Clip Board」には、任意のファイ
2015
ける任意のファイルを削除され ルを削除される脆弱性がありました。このため、
年2月
第三者によりサーバ上の任意のファイルを削除
る脆弱性
27 日
される可能性がありました。

6.4「SEIL」シリーズにおけるサービ ルータ製品「SEIL」シリーズには、サービス運
2015
用妨害(DoS)の脆弱性がありました。このため、
23 ス運用妨害(DoS)の脆弱性
年2月（*2）
第三者により当該製品を応答不能な状態にされ27 日る可能性がありました。

4.3

24

WordPress 用プラグイン
WordPress 用のプラグイン「Google Captcha(reCAPTCHA) by BestWebSoft」には、「Google Captcha
2015(reCAPTCHA) by BestWebSoft」 CAPTCHA 保護メカニズムを回避される脆弱性年2月における CAPTCHA 保護メカニ がありました。このため、ユーザによって、
27 日
CAPTCHA 保護メカニズムを回避される可能性
ズムを回避される脆弱性がありました。

5.0

25

WordPress 用プラグイン
WordPress 用プラグイン「Captcha」には、「Captcha」における CAPTCHA CAPTCHA 保護メカニズムを回避される脆弱性 2015年3月
保護メカニズムを回避される脆 がありました。このため、ユーザによって、
弱性
CAPTCHA 保護メカニズムを回避される可能性 3 日があります。

5.0

26「まろやか一言ボード」における 文章を投稿するための CGI「スクリプトまろや
クロスサイト・スクリプティング か一言ボード」には、ウェブページを出力する 2015の脆弱性
際の処理に問題がありました。このため、第三 年 3 月
者によりウェブページにスクリプトを埋め込ま 4 日
れる可能性がありました。

5.0

27

「まろやかイメージアルバム」に 画像を埋め込むための CGI「まろやかイメージ
おけるクロスサイト・スクリプテ アルバム」には、ウェブページを出力する際の 2015
ィングの脆弱性
処理に問題がありました。このため、第三者に 年 3 月
よりウェブページにスクリプトを埋め込まれる 4 日
可能性がありました。

4.3

28

「まろやかリレー小説」における 文章を投稿するための CGI「まろやかリレー小クロスサイト・スクリプティング 説」には、ウェブページを出力する際の処理に 2015の脆弱性問題がありました。このため、第三者によりウ 年 3 月
ェブページにスクリプトを埋め込まれる可能性 4 日がありました。

5.0

22

12

項番

脆弱性

WordPress 用プラグイン「All In
One WP Security & Firewall」に
29
おける SQL インジェクションの
（*1）
脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値

WordPress 用セキュリティプラグイン「All In
One WP Security & Firewall」には、SQL 文を組 2015
み立てる処理に問題がありました。このため、 年 3 月
第三者により任意の SQL 命令を実行される可能 6 日
性がありました。

5.1「eXtplorer」におけるクロスサイ ウェブベースのファイルマネージャ「eXtplorer」
ト・スクリプティングの脆弱性 には、ウェブページを出力する際の処理に問題 2015
30がありました。このため、第三者によりウェブ 年 3 月（*1）
ページにスクリプトを埋め込まれる可能性があ 17 日
りました。

4.3

「LINE」における意図しないアプ コミュニケーションアプリ「LINE」には、
リ内関数が呼び出される脆弱性 WebView 上の処理に不備がありました。このた 2015
め、第三者により不正な JavaScript コードを実 年 3 月
行され、意図しないアプリ内関数が呼び出され 20 日
る可能性がありました。

5.1

31

「TERASOLUNA Server
Framework for Java(WEB)」の
32 Validator に入力値検査回避の脆（*1） 弱性（*2）

ウェブアプリケーション開発支援フレームワー
ク「TERASOLUNA Server Framework for Java(Web)」には、Apache Struts 1.2.9 の脆弱性に 2015
起因する、Validator に入力値検査回避の脆弱性 年 3 月
が存在していました。このため、想定外のデー 24 日
タがデータベースに登録されるなどの可能性がありました。

4.3「Fumy Teacher's Schedule
スケジュール表示用 CGI「Fumy Teacher's
Board」におけるクロスサイト・ Schedule Board」には、ウェブページを出力す 2015
スクリプティングの脆弱性る際の処理に問題がありました。このため、第 年 3 月
三者によりウェブページにスクリプトを埋め込 26 日
まれる可能性がありました。

4.3

WordPress 用テーマ「flashy」に WordPress 用のテーマ「flashy」には、ウェブペ
2015
34 おけるクロスサイト・スクリプテ ージを出力する際の処理に問題がありました。
年3月（*1） ィングの脆弱性
このため、第三者によりウェブページにスクリ
26 日
プトを埋め込まれる可能性がありました。

4.3

WordPress 用プラグイン「All in WordPress 用プラグイン「All in One SEO Pack」
One SEO Pack」における情報管 における情報管理不備の脆弱性がありました。 201535
理不備の脆弱性
このため、パスワード保護したページの本文の 年 3 月（*1）
一部が、パスワードを知らない第三者によって 31 日閲覧される可能性がありました。

5.0

33

脆弱性の深刻度=レベル I（注意）、CVSS 基本値=0.0～3.9
複数の ASUS 製無線 LAN ルータ ASUS JAPAN が提供する複数の無線 LAN にク
2015
36 におけるクロスサイト・リクエス ロスサイト・リクエスト・フォージェリの脆弱
年1月（*4） ト・フォージェリの脆弱性性がありました。このため、第三者により意図
27 日
しない操作をさせられる可能性がありました。

2.6

Android 版「スマホ通帳」におけ オンラインバンキングソフト「スマホ通帳」にる情報管理不備の脆弱性
は、ユーザによって入力された情報をログに出力してしまう情報管理不備の問題がありまし2015
た。このため、Android 端末のログ情報を閲覧す 年 2 月
る権限のあるアプリケーションによって、当該 13 日
製品に入力された情報を取得される可能性があ
りました。

2.6

37

13

項番

脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値

日本語版「Zen Cart」におけるク ショッピングサイト構築システム「Zen Cart」にロスサイトスクリプティングの は、ウェブページを出力する際の処理に問題が 2015
38
脆弱性ありました。このため、第三者によりウェブペ 年 2 月（*1）
ージにスクリプトを埋め込まれる可能性があり 25 日
ました。

2.6

「jBCrypt」におけるストレッチ パスワードのハッシュ値を計算する Java 実装でング処理に関する脆弱性ある「jBCrypt」には、ストレッチング処理が正しく行われなくなる問題がありました。このた 201539
め、第三者によってパスワードのハッシュ値を 年 2 月（*1）
取得された場合に、総当たり攻撃によって容易 25 日にパスワードを解読される可能性がありました。

2.6

WordPress 用プラグイン「All In
One WP Security & Firewall」に
40 おけるクロスサイト・リクエス（*1） ト・フォージェリの脆弱性

WordPress 用セキュリティプラグイン「All In
One WP Security & Firewall」には、クロスサイ
2015
ト・リクエスト・フォージェリの脆弱性が存在年3月しました。このため、第三者により本プラグイ
6日
ンが管理するアクセスログを削除される可能性がありました。

2.6「Android OS」がオープンリゾル 「Android OS」には、を搭載しているデバイス
41
バとして機能してしまう問題には、オープンリゾルバとして機能してしまう 2015（*1）
問題が存在します。このため、第三者により対 年 3 月（*3）
象機器が DDoS 攻撃に悪用される可能性があり 27 日
（*4）
ました。

2.6

（*1）
：オープンソースソフトウェア製品の脆弱性（*2）：製品開発者自身から届けられた自社製品の脆弱性（*3）：複数開発者・製品に影響がある脆弱性（*4）：組込みソフトウェアの脆弱性（2）

海外 CSIRT 等から脆弱性情報の提供を受け JVN で公表した脆弱性

表 2-4、2-5 は JPCERT/CC が海外 CSIRT 等と連携し、今四半期に公表した脆弱性および対応状況を示しています。今四半期に公表した脆弱性は 36 件あり、
表 2-4 は通常の脆弱性情報 35 件、
表 2-5 には対応に緊急を要する Technical Cyber Security Alert の 1 件を示しています。
近年、Android 関連製品や OSS 製品の脆弱性の対策情報公表に向けた調整活動では、製品開発者が所在するアジア圏の調整機関、特に韓国の KrCERT/CC や中国の CNCERT/CC、台湾のTWNCERT との連携が増えています。これらの情報は、JPCERT/CC 製品開発者リスト（ * 14）に登録された製品開発者へ通知したうえ、JVN に掲載しています。
表 2-4．海外 CSIRT 等と連携した脆弱性および対応状況
項番

脆弱性

対応状況

1

UEFI EDK1 にバッファオーバーフローの脆弱性

注意喚起として掲載
複数製品開発者へ通知

2Intel BIOS ロッキングメカニズムに競合状態の脆弱性

注意喚起として掲載
複数製品開発者へ通知

3

複数の UEFI システムにおいて EFI S3 Resume Boot Path で使われる 注意喚起として掲載
boot script が適切に保護されていない問題
複数製品開発者へ通知（ *14）JPCERT/CC 製品開発者リスト：https://jvn.jp/nav/index.html。

14

項番

脆弱性

対応状況

4

OpenSSL に複数の脆弱性

注意喚起として掲載
複数製品開発者へ通知

5

Panasonic Arbitrator Back-End Server (BES) に平文通信の脆弱性

注意喚起として掲載
特定製品開発者へ通知

6

Ceragon FibeAir IP-10 に root パスワードがハードコードされている問題

注意喚起として掲載

7

Windows 向け iPass Open Mobile クライアントに任意のコード実行の脆弱 注意喚起として掲載
性8

LabTech に権限昇格の脆弱性

注意喚起として掲載

9

QPR Portal に複数の脆弱性

注意喚起として掲載

10

glibc ライブラリにバッファオーバーフローの脆弱性

注意喚起として掲載
複数製品開発者へ通知

11

複数の Apple 製品の脆弱性に対するアップデート

注意喚起として掲載

12

SerVision HVG Video Gateway のウェブインターフェースに複数の脆弱性

注意喚起として掲載

13

Topline Systems Opportunity Form に情報漏えいの脆弱性

注意喚起として掲載

14

Ektron CMS に複数の脆弱性

注意喚起として掲載

15

横河製品の HART Device DTM にバッファオーバーフローの脆弱性

注意喚起として掲載
特定製品開発者へ通知

16

Microsoft Windows グループ ポリシーに脆弱性

注意喚起として掲載
特定製品開発者へ通知

17Henry Spencer の正規表現 (regex) ライブラリにバッファオーバーフロー 注意喚起として掲載
複数製品開発者へ通知
の脆弱性

18

ISC BIND 9 にサービス運用妨害 (DoS) の脆弱性

注意喚起として掲載
複数製品開発者へ通知

19

Komodia Redirector がルート CA 証明書と秘密鍵をインストールする問題

注意喚起として掲載

20

Adtrustmedia PrivDog に SSL サーバ証明書の検証不備の脆弱性

注意喚起として掲載

21

Bluetooth Stack for Windows by Toshiba および TOSHIBA Service Station 注意喚起として掲載に権限昇格の脆弱性
特定製品開発者へ通知

22

ShareLaTeX に複数の脆弱性

23

SSL/TLS の実装が輸出グレードの RSA 鍵を受け入れる問題 (FREAK 攻 注意喚起として掲載
複数製品開発者へ通知
撃)

24

複数の Apple 製品の脆弱性に対するアップデート

注意喚起として掲載

25

Telerik Analytics Monitor ライブラリに DLL ハイジャックが可能な脆弱性

注意喚起として掲載

26

D-Link DCS-93xL シリーズにファイルアップロードの脆弱性

注意喚起として掲載

27

D-Link DAP-1320 Rev Ax に OS コマンドインジェクションの脆弱性

注意喚起として掲載

28

HP ArcSight アプライアンス製品に複数の脆弱性

注意喚起として掲載

29

Apple Safari における複数の脆弱性に対するアップデート

注意喚起として掲載

30

OpenSSL に複数の脆弱性

注意喚起として掲載
複数製品開発者へ通知

31Apple OS X における複数の脆弱性に対するアップデート

注意喚起として掲載

32

NSIS Inetc プラグインに SSL サーバ証明書の検証不備の脆弱性

注意喚起として掲載

33

複数の BIOS 実装において SMRAM の領域外を参照する SMM 関数呼び 注意喚起として掲載出しが可能な問題

34

ANTlabs 製 InnGate の複数のモデルにおいて認証なしでファイルシステム 注意喚起として掲載
への読書きが可能な脆弱性

35

複数の認証局においてメールアドレスのみに基づいて証明書を発行している 注意喚起として掲載
問題
複数製品開発者へ通知

注意喚起として掲載

15

表 2-5.米国 US-CERT（*15）と連携した脆弱性関連情報および対応状況
項番

脆弱性Superfish がインストールされた Lenovo 製 PC に HTTPS スプーフィングの脆弱性

12-1-5. 連絡不能案件の処理状況
図 2-12 は、2011 年 9 月末から 2015 年 3 月末までに、「連絡不能開発者」と位置づけて取扱った 185 件の処理状況の推移を示したものです。
2015 年 3 月末時点での処理状況は、185 件のうち、製品開発者との脆弱性対策情報の公表に向けた調整が再開したため連絡不能開発者一覧から削除したものは 25 件で、製品開発者と連絡が取れないため公表を継続しているものは 160 件（前四半期は 163 件）となりました。
「連絡不能」は、前四半期から 3 件減りました。また、今四半期は、新たに公表したものはな
く、「開発者名公表」の 12 件は前四半期に公表したものです。
また、「調整再開」は、製品開発者との JVN 公表内容の調整を経て脆弱性対策情報の公表が完了したため、「調整再開（調整完了）」が 3 件増加しました。

連絡不能（開発者名公表）
前四半期

連絡不能（追加情報公表）16312

調整再開（調整中）

151

10160（-3）
今四半期

12
0件

40件

60件

80件

100件

120件

140件

図2-12連絡不能開発者一覧の処理状況（ *15）

United States Computer Emergency Readiness Team：米国の政府系 CSIRT。

16

12

25（3）
10 15
(0) (3)

148
20件

調整再開（調整完了）
合計 185
合計 185

160件 180件 200件
前四半期との差分件数

2-2. ウェブサイトの脆弱性
2-2-1. 処理状況
図 2-13 のグラフは、ウェブサイトの脆弱性届出の処理状況について、四半期ごとの推移を示したものです。2015 年 3 月末時点の届出の累計は 8,864 件で、今四半期中に取扱いを終了したもの
は 290 件（累計 8,107 件）でした。このうち「修正完了」したものは 253 件（累計 6,194 件）、「注意喚起」により処理を取りやめたもの（*16）は 0 件（累計 1,130 件）、IPA およびウェブサイト運営者が「脆弱性ではない」と判断したものは 20 件（累計 491 件）でした。なお、ウェブサ
イト運営者への連絡は通常メールで行い、連絡が取れない場合に電話や郵送での連絡も行っています。しかしウェブサイト運営者への連絡手段がない場合などは「取扱不能」案件となります。
今期その件数は 11 件（累計 102 件）でした。また「不受理」としたものは 6 件（*17）（累計 190 件）でした。取扱いを終了した累計 8,107 件のうち「修正完了」「脆弱性ではない」の合計 6,685 件
は全て、ウェブサイト運営者からの報告もしくは IPA の判断により指摘した点が解消されていることが確認されています。なお「修正完了」のうち、ウェブサイト運営者が当該ページを削除したものは 70 件（累計 768 件）、ウェブサイト運営者が運用により被害を回避したものは 0 件（累計 28 件）でした。
7,240
2014年
3月末

74

1,130

5,446

490 合計 7,730件

414 176

7,422
2014年
6月末

5,595

1,130

84

596

合計 8,018件

436 177

7,635
2014年
9月末

5,778

88

1,130

676

合計 8,311件

456 183

,
2014年
12月末

5,941

1,130

91
471

184

886

合計 8,703件

取扱い終了 8,107(290)
2015年
3月末

修正完了 6,194
[71%]
0

1,000

2,000

運用で回避
28(0)

3,000

4,000

5,000

注意喚起 491
(20)
1,130

6,000

757

合計 8,864件

取扱い中取扱不能 102(11) 不受理 190(6)

7,000

8,000

9,000

（ ）内の数値は今四半期に処理を終了した件数［］内の数値は受理した届出のうち修正完了した割合

取扱い終了

修正完了
当該ページを削除
運用で回避
注意喚起
脆弱性ではない
取扱不能
不受理
取扱い中

： ウェブサイト運営者により脆弱性が修正されたもの： 修正完了のうち、当該ページを削除したもの： 修正完了のうち、運用により被害を回避しているもの： IPA による注意喚起で広く対策実施を促した後、処理を取りやめたもの： IPA およびウェブサイト運営者が脆弱性はないと判断したもの： ウェブサイト運営者からの回答がなく、取扱いができないもの、
ウェブサイト運営者が対応しないと判断したもの： 告示で定める届出の対象に該当しないもの： ウェブサイト運営者が調査、対応中のもの

図 2-13.ウェブサイト脆弱性の届出処理状況（四半期ごとの推移）（ *16）「多数のウェブサイトにおいて利用されているソフトウェア製品に修正プログラムが適用されていない」といった届出があった場合、効果的に周知徹底するため「注意喚起」を公表することがあります。そうした場
合、「注意喚起」をもって届出の処理を取りやめます。
（ *17）
内訳は今四半期の届出によるもの 3 件、前四半期までの届出によるもの 3 件。

17

以下に、今までに届出のあったウェブサイトの脆弱性 8,864 件のうち、不受理を除いた 8,674

件の届出を分析した結果を記載します。
2-2-2. 運営主体の種類別の届出件数
図 2-14 のグラフは、届出された脆弱性のウェブサイト運営主体の種類について、過去 2 年間の届出件数の推移を四半期ごとに示しています。今四半期は全体の 5 割を企業が占めています。
不明
個人
政府機関
教育・学術機関団体
地方公共団体企業（株式会社以外）
企業（株式・非上場）企業（株式・上場）

400件
350件
300件
250件
200件
150件
100件
50件
0件

2Q
2013

3Q

4Q

1Q
2014

2Q

3Q

4Q

1Q
2015

図2-14．四半期ごとの運営主体の種類別届出件数

2-2-3. 脆弱性の種類・影響別届出
図 2-15、2-16 のグラフは、届出された脆弱性の種類を示しています。図 2-15 は今までの届出累計の割合を、図 2-16 は過去 2 年間の届出件数の推移を四半期ごとに示しています（*18）。
累計では、「クロスサイト・スクリプティング」だけで 55%を占めており、次いで「DNS 情報の設定不備」「SQL インジェクション」となっています。「DNS 情報の設定不備」は 16%あり
ますが、2008 年から 2009 年にかけて多く届出されたのが反映されたものです。今四半期は「クロスサイト・スクリプティング」が約 5 割を占めています。なお、この統計は本制度における届出の傾向であり、世の中に存在する脆弱性の傾向と必ずしも一致するものではありません。

ウェブサイトの脆弱性の種類別の届出状況
クロスサイト・スクリプティング
DNS情報の設定不備
SQLインジェクション
ディレクトリ・トラバーサル
ファイルの誤った公開
HTTPSの不適切な利用
その他

400件
350件

2%
(2%)
2%

11%
2%

300件

55%
(56%)

250件
200件

(2%)

150件

12%
(11%)

100件
50件

16%
(16%)

2Q 3Q
2013

4Q

(8,674件の内訳、グラフの括弧内は前四半期までの数字)

図2-15．届出累計の脆弱性の種類別割合（ *18）

0件
1Q 2Q 3Q 4Q 1Q
2014
2015
(過去2年間の届出内訳)

図2-16．四半期ごとの脆弱性の種類別届出件数

それぞれの脆弱性の詳しい説明については付表 2 を参照してください。

18

図 2-17、2-18 のグラフは、届出された脆弱性がもたらす影響別の分類です。図 2-17 は届出の影
響別割合を、図 2-18 は過去 2 年間の届出件数の推移を四半期ごとに示しています。
累計では、「クロスサイト・スクリプティング」「DNS 情報の設定不備」「SQL インジェクシ
ョン」などにより発生する、「本物サイト上での偽情報の表示」「ドメイン情報の挿入」「デー
タの改ざん、消去」が全体の 8 割を占めています。前四半期は、「ディレクトリ・トラバーサル」の脆弱性が多く届出されたため「サーバ内ファイルの漏洩」が急増しましたが、今四半期は減少
しています。

ウェブサイトの脆弱性がもたらす影響別の届出状況
本物サイト上への偽情報の表示
ドメイン情報の挿入
データの改ざん、消去
サーバ内ファイルの漏洩
個人情報の漏洩
Cookie情報の漏洩
なりすまし
利用者のセキュリティレベルの低下
その他

400件

5%
2%
2%
2%
3%
(3%)
4%
(4%)

350件
300件

54%
(54%)

250件
200件
150件
100件

12%
(11%)

50件
0件

16%
(16%)

2Q 3Q
2013

4Q

1Q 2Q
2014

3Q

4Q

1Q
2015

(過去2年間の届出内訳)(8,674件の内訳、グラフの括弧内は前四半期までの数字)

図2-18．四半期ごとの脆弱性がもたらす影響別
届出件数

図2-17．届出累計の脆弱性がもたらす影響別割合

2-2-4. 修正完了状況
図 2-19 のグラフは、過去 3 年間のウェブサイトの脆弱性の修正完了件数を四半期ごとに示しています。2015 年第 1 四半期に修正を完了した 253 件のうち 202 件（80%）は、運営者へ脆弱関
連情報を通知してから修正完了までの日数が 90 日以内の届出でした。今四半期は、90 日以内に修正完了した届出の割合が、前四半期（163 件中 110 件（67%））より増加しています。
表 2-5 は、過去 3 年間に修正が完了した全届出のうち、ウェブサイト運営者に脆弱性を通知してから、90 日以内に修正が完了した累計およびその割合を四半期ごとに示しています。今期の割合は 68%でした。
四半期件数

0-90日以内

91-300日以内

301日以上

400件
300件

4,265

4,436

4,549

4,915

192
100件

196

171

5,308

5,446

5,595

完了件数(累計)

5,778

189
138

170

149

183

3Q

4Q

1Q
2013

2Q

3Q

4Q

1Q
2014

2Q

図2-19．ウェブサイトの脆弱性の修正完了件数

19

163

3Q

累計件数

6,000件
5,000件
4,000件202

3,000件
2,000件

110

113

2Q
2012

5,941 6,194
253

204

200件

0件

4,745

5,119

完了件数(四半期計)

31 22

36

4Q

1Q
2015

15

1,000件0件

表 2-5．90 日以内に修正完了した累計およびその割合の推移
2012
2Q

3Q

4Q

2013
1Q

2Q

3Q

4Q

2014
1Q

2Q

3Q

4Q

2015
1Q

修正完了件数

4,265

4,436

4,549

4,745

4,915

5,119

5,308

5,446

5,595

5,778

5,941

6,194

90 日以内の件数

2,832

2,930

2,993

3,147

3,244

3,400

3,557

3,635

3,730

3,872

3,982

4,184

90 日以内の割合

66%

66%

66%

66%

66%

66%

67%

67%

67%

67%

67%

68%

図 2-20、2-21 は、ウェブサイト運営者に脆弱性を通知してから修正されるまでに要した日数を脆弱性の種類別に分類し、その傾向を示しています（*19）。全体の 49%の届出が 30 日以内、全体の 68%の届出が 90 日以内に修正されています。

90日以内の修正：68%
30日以内の修正：49%
900件
800件
700件
600件
500件

その他（351件）
メールの第三者中継（40件）
認証に関する不備（53件）
OSコマンドインジェクション（60件）
セッション管理の不備（76件）
HTTPレスポンス分割（104件）
ディレクトリ・トラバーサル（130件）
ファイルの誤った公開(141件)
DNS情報の設定不備（541件）
SQLインジェクション（752件）
クロスサイト・スクリプティング（3,946件）

9%

10%

10%

9%

7%

7%

400件

5%

14%

12%

6%

5%

300件
200件

3%

3%

2日

3日

100件
0件
0日

1日

4日
6日
11日
21日
31日
51日
91日 201日 301日～～5日 ～10日 ～20日 ～30日 ～50日 ～90日 ～200日 ～300日

図2-20．ウェブサイトの修正に要した日数（ *19）

運営者から修正完了の報告があったもの、および、脆弱性が修正されたと IPA で判断したものも含めて示しています。なお、0 日は詳細情報を通知した当日に修正されたもの、または運営者へ詳細情報を通知する前に修正されたものです。

20クロスサイト・スクリプティング（3,946件）
SQLインジェクション（752件）
DNS情報の設定不備（541件）
ファイルの誤った公開（141件）
HTTPレスポンス分割（130件）
ディレクトリ・トラバーサル（104件）
セッション管理の不備（76件）
認証に関する不備（60件）
メールの第三者中継（53件）
OSコマンドインジェクション（40件）
その他（351件）

0～10日

11日～20日

0%

20%

40%

21日～30日

31日～50日

51日～90日

60%
91日～200日

80%

100%

201日～300日

301日～

図2-21．ウェブサイトの修正に要した脆弱性種類別の日数の傾向

21

2-2-5. 取扱中の状況
ウェブサイト運営者から脆弱性を修正した旨の報告が無い場合、IPA はウェブサイト運営者に 1～2 ヶ月毎に電子メールや電話、郵送などの手段でウェブサイト運営者に連絡を試み、脆弱性が悪用されて攻撃を受けた場合の危険性を分かりやすく解説し、脆弱性対策の実施を促しています。
図 2-22 は、ウェブサイトの脆弱性のうち、取扱いが長期化（IPA からウェブサイト運営者へ脆弱性を通知してから、90 日以上脆弱性を修正した旨の報告が無い）しているものについて、経過日数別の件数を示したものです。これらの合計は 415 件（前四半期は 448 件）です。
取扱いが長期化しているものの中には、ウェブサイトの情報が窃取されてしまうなどの危険性がある、SQL インジェクションという深刻度の高い脆弱性も含まれています。

140件
120件
100件
80件
60件
40件
20件
0件

（長期化 合計415件）

83
4
10
69

90～
199日

129

その他
SQLインジェクション
クロスサイト・スクリプティング

61
5

43
11

19

31

26

20

25

2
1
16

6
26

3
5
12

200～
299日

300～
399日

400～
499日

500～
599日

29
25

11

12

1
1
9

75

0
9

2
9
1

11

0
0
11

600～
699日

700～
799日

800～
899日

900～
999日

1000日
以上

17

図2-22．取扱いが長期化(90日以上経過)しているウェブサイトの経過日数と脆弱性の種類
表 2-6 は、過去 2 年間の四半期末時点で取扱い中の届出と、取扱いが長期化している届出の件数および、その割合を示しています。その推移をみると、取扱いが長期化している割合は減少傾向にあるといえます。
表 2-6．取扱いが長期化している届出件数および割合の四半期ごとの推移
2013
2Q

3Q

4Q

2014
1Q

2Q

3Q

4Q

2015
1Q

取扱い中の件数

473

504

505

490

596

676

886

757

長期化している件数

307

302

358

357

353

402

448

415

長期化している割合

65%

60%

71%

73%

59%

59%

51%

55%

22

3. 関係者への要望
脆弱性の修正促進のための、各関係者への要望は以下のとおりです。

3-1. ウェブサイト運営者
多くのウェブサイトで利用しているソフトウェア製品に脆弱性が発見されています。自身のウェブサイトでどのようなソフトウェア製品を利用しているかを把握し、脆弱性対策を実施することが必要です。
なお、脆弱性の理解にあたっては、以下の IPA が提供するコンテンツが利用できます。
⇒「知っていますか？脆弱性（ぜいじゃくせい）」： https://www.ipa.go.jp/security/vuln/vuln_contents/⇒「安全なウェブサイト運営入門」： https://www.ipa.go.jp/security/vuln/7incidents/

また、対策実施にあたっては、以下のコンテンツが利用できます。
⇒「安全なウェブサイトの作り方」：https://www.ipa.go.jp/security/vuln/websecurity.html⇒「安全な SQL の呼び出し方」：https://www.ipa.go.jp/security/vuln/websecurity.html⇒「Web Application Firewall 読本」：https://www.ipa.go.jp/security/vuln/waf.html

また、ウェブサイトの脆弱性診断実施にあたっては、以下のコンテンツが利用できます。
⇒「ウェブ健康診断仕様」：https://www.ipa.go.jp/security/vuln/websecurity.html⇒「動画で知ろう！クロスサイト・スクリプティングの被害！」（約 7 分）：https://www.ipa.go.jp/security/keihatsu/videos/index.html#eng

3-2. 製品開発者
JPCERT/CC は、ソフトウェア製品の脆弱性関連情報を、「製品開発者リスト」に基づき、一般
公表日の調整等を行います。迅速な調整が進められるよう、「製品開発者リスト」に登録してください（URL：https://www.jpcert.or.jp/vh/regist.html）。また、製品開発者自身が自社製品の脆弱性関連情報を発見した場合も、対策情報を利用者へ周知するために JVN を活用することができます。
JPCERT/CC もしくは IPA へ連絡してください。
なお、製品開発にあたっては、以下のコンテンツが利用できます。
⇒「組込みシステムのセキュリティへの取組みガイド（2010 年度改訂版）」：
https://www.ipa.go.jp/security/fy22/reports/emb_app2010/⇒「ファジング：製品出荷前に機械的に脆弱性をみつけよう」：
https://www.ipa.go.jp/security/vuln/fuzzing.html⇒「Android アプリの脆弱性の学習・点検ツール AnCoLe」：
https://www.ipa.go.jp/security/vuln/ancole/index.html

3-3. 一般のインターネットユーザー
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がける必要があります。ソフトウ
ェアを利用する場合は、脆弱性対策を実施してから利用してください。
なお、一般インターネットユーザー向けには、以下のツールを提供しています。
⇒「MyJVN 情報収集ツール」：http://jvndb.jvn.jp/apis/myjvn/mjcheck.html
脆弱性対策情報を効率的に収集するためのツール。
⇒「MyJVN バージョンチェッカ」：http://jvndb.jvn.jp/apis/myjvn/vccheck.html
利用者の PC、サーバ上にインストールされたソフトウェア製品のバージョンを容易にチェックする等の機能。

3-4. 発見者
脆弱性関連情報の適切な流通のため、届出した脆弱性関連情報については、脆弱性が修正されるまでは、第三者に漏れないよう、適切に管理してください。
23

付表 1. ソフトウェア製品の脆弱性の原因分類
脆弱性の原因届出において説明想定された脅威1

設定情報の漏洩通信の不正中継アクセス制御の不 アクセス制御を行うべき個所において、ア
なりすまし
備
クセス制御が欠如している。
任意のスクリプトの実行
認証情報の漏洩2

アクセス制限の回避
価格等の改ざん
サービス不能
資源の枯渇
ウェブアプリケーションに対し、入力され重要情報の漏洩た情報の内容の解釈や認証情報の取扱い、情報の漏洩
ウェブアプリケー 出力時の処理に問題がある。
「クロスサイセッション・ハイジャック
ションの脆弱性
ト・スクリプティング」攻撃や「SQL イ
通信の不正中継ンジェクション」攻撃などに利用されてし
なりすまし
まう。
任意のコマンドの実行
任意のスクリプトの実行
任意のファイルへのアクセス
認証情報の漏洩3

仕様上の不備4

ウェブブラウザやメールクライアントソ
証明書の検証に関 フトに証明書を検証する機能が実装され 証明書の確認不能
する不備ていない、または、検証が正しく行われず なりすましに、偽の証明書を受けいれてしまう。

5

本来、厳しい制限のあるセキュリティコン アプリケーションの異常終了
セキュリティコン
テキストで取り扱うべき処理を、緩い制限 情報の漏洩
テキストの適用ののセキュリティコンテキストで処理して 任意のコードの実行
不備
任意のスクリプトの実行しまう。

6

想定外の長さの入力が行われた場合に、長サービス不能バッファのチェッ さをチェックせずバッファに入力してし任意のコードの実行
クの不備
まう。「バッファオーバーフロー」攻撃に任意のコマンドの実行利用されてしまう。

7

処理の際のパラメータとして指定されているディレクトリ名やファイル名、ファイ
アプリケーションの異常終了
ルの内容をチェックしていない。任意のデサービス不能ファイルのパス名、ィレクトリのファイルを指定できてしま
資源の枯渇
内容のチェックのい、「ディレクトリ・トラバーサル」攻撃
任意のファイルへのアクセス不備に利用されてしまう。また、破損したファ
認証情報の漏洩
イルや不正に書き換えられたファイルを処理した際に不具合が生じる。

RFC 等の公開された規格に準拠して、設 サービス不能
計、実装した結果、問題が生じるもの。 資源の枯渇

24

付表 2. ウェブサイトの脆弱性の分類
脆弱性の種類

深刻度

説明

届出において想定された脅威高個人情報の漏洩
一般に公開すべきでないファイルが公開さ サーバ内ファイルの漏れており、自由に閲覧できる状態になって 洩
データの改ざん、消去
いる
なりすまし

2

パス名パラメータの未チェック

高ユーザからの入力を処理する際のパラメー
タとして指定されているファイル名を、ユ サーバ内ファイルの漏ーザが変更し、ウェブサーバ上の任意のデ 洩ィレクトリのファイルを指定できてしまう

3

ディレクトリ･トラバーサル

高ウェブサーバ上のディレクトリのアクセス 個人情報の漏洩権を超えて、本来許可されている範囲外の サーバ内ファイルの漏洩
ディレクトリにアクセスできる

4

セッション管理の不備高セッション管理に、推測可能な情報を使用
Cookie 情報の漏洩しているため、他のユーザの情報が容易に
個人情報の漏洩
推測でき、他のユーザになりすまして、サ
なりすましービスを利用することができる

5

SQL インジェクション

高

個人情報の漏洩
入力フォームなどへ SQL コマンド（データサーバ内ファイルの漏
ベースへの命令）を入力し、データベース
洩
内の情報の閲覧、更新、削除などができる
データの改ざん、消去

6

DNS 情報の設定不備

高

DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名の持ち主 ドメイン情報の挿入
であるかのようにふるまえてしまう中

外部の第三者により、他のサーバへのアクセスを中継するサーバとして利用され、不踏み台
正アクセスなどの際にアクセス元を隠すた
めの踏み台にされてしまう

1

ファイルの誤った公開7

オープンプロキシ

8

クロスサイト･
スクリプティング

中9

クロスサイト・リク
エスト・フォージェ
リ

中10

HTTP レスポンス分
割

セキュリティ設定の11 不適切な変更

リダイレクタの不適
12
切な利用

Cookie 情報の漏洩
サーバ内ファイルの漏
ユーザの Cookie 情報を知らないうちに転 洩送させたり、偽の情報を表示させたりする 個人情報の漏洩
ような罠のリンクをユーザにクリックさ データの改ざん、消去
せ、個人情報等を盗むことができる
なりすまし
本物サイト上への偽情報の表示
ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそかにア
データの改ざん、消去
クセスさせ、登録情報の変更や商品の購入をさせることができる

中

攻撃者がユーザに対し、悪意のある要求をウェブサーバに送信するように仕向けるこ
ウェブキャッシュ情報とで、ウェブサーバからの応答を分割させのすり替えて応答内容をすり替え、ユーザに対して偽のページを表示させることができる

中

ユーザに対し、ソフトウェアをインストー
ルさせたり、ブラウザのセキュリティレベ 利用者のセキュリティ
ルを下げるよう指示することでクライアン レベルの低下
ト PC のセキュリティ設定を低下させる

中

ウェブサーバに設置したリダイレクタが悪踏み台
意あるリンクへの踏み台にされたり、その本物サイト上への偽情
ウェブサイト上で別のサイト上のページを報の表示表示させられてしまう

25

脆弱性の種類

深刻度

届出において想定された脅威説明中

ウェブサイトのサービスやブラウザの機能として提供されているフィルタリング機能 利用者のセキュリティが回避される問題。これにより、本来制限 レベルの低下されるはずのウェブページを閲覧してしま なりすましう

中

攻撃者がウェブアプリケーションを介してウェブサーバの OS コマンドを実行できてしまい、サーバ内ファイルの閲覧やシステ 任意のコマンドの実行
ム操作、不正なプログラムの実行などを行
われてしまう低利用者が入力した内容を管理者が指定した
メールアドレスに送信する機能で、外部のメールシステムの不正利用者が宛先メールアドレスを自由に指定利用できてしまい、迷惑メール送信の踏み台に悪用されるHTTPS の不適 切 な
16 利用

低

HTTPS による暗号化をしているが、暗号の選択や設定が十分でなかったり、ウェブサ
イトでのユーザへの説明に間違いがある、 なりすまし
または、ウェブサイトの設計上、ユーザから証明書が確認できない

17 価格等の改ざん

低ショッピングサイトにおいて、価格情報等
が利用者側で書き換えられる。書き換えに データの改ざんよる被害は、ウェブサイト側に限定される

フィルタリングの回
13 避

14OS コマンド・インジ
ェクション

15 メールの第三者中継

・API: Application Program Interface

・RFC: Request For Comments

・CGI: Common Gateway Interface

・SQL: Structured Query Language

・DNS: Domain Name System

・SSI: Server Side Include

・HTTP: Hypertext Transfer Protocol

・SSL: Secure Socket Layer

・HTTPS: Hypertext Transfer Protocol Security

・TCP: Transmission Control Protocol

・URI: Uniform Resource Identifier・URL: Uniform Resource Locator・ISAKMP : Internet Security Association
・MIME

Key Management Protocol: Multipurpose Internet Mail Extension

付図１．
「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報の取扱制度）
情報セキュリティ早期警戒パートナーシップ

脆弱性関連
情報届出

発見者

ソフトウェア
製品の脆弱性

脆弱性関連
情報通知

受付・分析機関
報告された
脆弱性関連情報の内容確認・検証

調整機関

対応状況の集約、
公表日の調整等

脆弱性対策情報ポータル

対応状況等
公表

公表日の決定、
海外の調整機関との連携等
ソフトウェア
システム
製品開発者
導入支援者
検証、対策実施

分析支援機関セキュリティ対策推進協議会等

ウェブサイトの
脆弱性

脆弱性関連
情報届出

産総研など

脆弱性関連情報通知

ウェブサイト運営者

ユーザ

政府
企業
個人

個人情報の漏えい時は事実関係を公表

検証、対策実施①製品開発者及びウェブサイト運営者による脆弱性対策を促進【期待効果】 ②不用意な脆弱性関連情報の公表や脆弱性の放置を抑制③個人情報等重要情報の流出や重要システムの停止を予防※IPA:独立行政法人情報処理推進機構, JPCERT/CC:一般社団法人 JPCERT コーディネーションセンター、産総研：国立研究開発法人産業技術総合研究所

26