プレスリリース
2008 年 1 月 18 日
独立行政法人 情報処理推進機構
有限責任中間法人 JPCERT コーディネーションセンター

ソフトウェア等の脆弱性関連情報に関する届出状況 [2007 年第 4 四半期（10 月～12 月）]
独立行政法人 情報処理推進機構（略称：IPA、理事長：藤原 武平太）および有限責任中間法人 JPCERTコーディネーションセンター（略称：JPCERT/CC、代表理事：歌代 和正）は、2007 年第 4 四半期（10 月～12月）の脆弱性関連情報の届出状況1をまとめました。
今四半期のトピックス：「情報セキュリティ早期警戒パートナーシップ」による脆弱性の修正完了件数が 1,000 件に達しました。

1．2007 年第 4 四半期の概況(1)脆弱性の届出状況
2007 年第 4 四半期（2007 年 10 月 1 日から 12 月 31 日まで）

表 1. 2007 年第 4 四半期の届出件数の IPA への脆弱性関連情報の届出件数は、ソフトウェア製品に分類関するもの 66 件、ウェブアプリケーション（ウェブサイト）に関するソフトウェア製品

66 件

626 件

もの 80 件、合計 146 件でした。届出受付開始（2004 年 7 月 8

ウェブサイト80 件

1,123 件

計146 件

1,749 件日）からの累計は、ソフトウェア製品に関するもの 626 件、ウェブサイトに関するもの 1,123 件、合計 1,749 件で、ウェブサイトに

届出件数

累計件数

関する届出が全体の 3 分の 2 を占めています（表 1）。
図１に示すように、届出受付開始（2004 年 7 月 8 日）から各四半期末時点までの業務日 1 日あたりの届出件数が、2007 年第 4 四半期で 2.05 件となりました。届出件数は年々増加しており、脆弱性の届出制度が浸透し、潜在していた脆弱性が顕在化してきているものと考えています。
就業日 1 日あたりの届出件数（届出受付開始から各四半期末時点）
2005/1Q 2006/1Q 2006/2Q 2006/3Q 2006/4Q 2007/1Q 2007/2Q 2007/3Q 2007/4Q
1.45

1.61

1.70

1.75

ソフトウェア製品に関する届出
250
ソフトウェア製品に関する届出（累計）

1.92

1.95

1.98

ウェブサイトに関する届出
ウェブサイトに関する届出（累計）

200

四
半
期
件
数

150
100

277

50
0

379

140 211
67 10046
66 33

19 73 14 67 13 71 21

2.03

434

507

143 178

564

661

264 303

749
428

845
465

1043

2.05

1123

940
511 560

1250
1000

626

102 43 55 35 73 86 57 39 97 125 88 37 96 46 95 49 103 66 80

750
500
250

累
計
件
数

0

3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q
2004 2004 2005 2005 2005 2005 2006 2006 2006 2006 2007 2007 2007 2007

図１.脆弱性関連情報の届出件数の四半期別推移
1

ソフトウェア等の脆弱性関連情報に関する届出制度：経済産業省告示に基づき、2004 年 7 月より開始しました。IPA
は届出受付・分析、JPCERT/CC は国内の製品開発者などの関連組織との調整を行っています。

1

(2)脆弱性の修正状況

表 2．2007 年第 4 四半期の修正完了件数

2007 年第 4 四半期の脆弱性の修正完了件数は、ソフトウェア

分類

製品に関するもの 31 件、ウェブサイトに関するもの 93 件、合計124 件でした。届出受付開始からの累計は、ソフトウェア製品に関するもの 254 件、ウェブサイトに関するもの 748 件、合計修正完了件数

累計件数

ソフトウェア製品

31 件

254 件

ウェブサイト

93 件

748 件

計

124 件

1,002 件1,002 件となり、1,000 件に達しました（表 2、図 2）。

今四半期はソフトウェア製品の修正完了件数、ウェブサイトの修正完了件数ともに、過去最多となりました。

四
半
期
件
数

140

ソフトウェア製品の修正完了

120

修正完了の合計（累計)1200

ウェブサイトの修正完了

832

100

539

80
60
40

50
42

20

21

0

3

71
18

8

181

128

262

331

627

878

1002
1000

723

800
600

394 454400
200

15 38 15 66 14 55 9 54 23 37 30 55 26 62 30 66 23 86 20 26 31 93

7

累
計
件
数

0

3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q
2004 2004 2005 2005 2005 2005 2006 2006 2006 2006 2007 2007 2007 2007

図２.脆弱性の修正完了件数の四半期別推移
修正が完了した脆弱性について、脆弱性を攻撃された場合に想定される脅威を分析すると、ソフトウェア製品の脆弱性に関しては、「クロスサイト・スクリプティング」や「SQL インジェクション」の脅威である、「任意のスクリプトの実行」が 47%、「情報の漏洩」が 10%、「なりすまし」が 7%、「任意のコードの実行」が 6%などとなっています（図 3）。ウェブサイトの脆弱性に関しては、「本物サイトへの偽情報の表示」が 33%、「データの改ざん、消去」
が 18%、「Cookie2情報の漏洩」が 16%、「個人情報の漏洩」が 10%などとなっています（図 4）。
サービス
不能
5%
任意のコ
マンドの
実行
5%
任意の
コードの
実行
6%

その他
20%

サーバ内
ファイル
の漏洩
6%

任意のス
クリプト
の実行
47%

なりすまし
7%

個人情報
の漏洩
10%
Cookie情
報の漏洩
16%

情報の
漏洩
10%

図３.ソフトウェア製品の修正完了－脅威別内訳－

その他
17%

本物サイ
ト上への
偽情報の
表示
33%

データ改
ざん、
消去
18%

図４.ウェブサイトの修正完了－脅威別内訳－

IPA が 2006 年 11 月に公表した「企業における情報セキュリティ事象被害額調査」3によると、実際に SQL イ
ンジェクションによる不正アクセスがあった場合、その復旧に関する費用は 1 件あたり 5000 万円から 1 億円の推計結果となっています。ソフトウェア製品開発者やウェブサイト運営者は、脆弱性対策を促進し、その被害を事前に防止することが重要です。
2

ウェブサイトの閲覧者のコンピュータに一時的にデータを書き込んで保存させるしくみ。Cookie には閲覧者の情報や最後にサイトを訪れた日時、そのサイトの訪問回数などを記録しておくことができる。Cookie は閲覧者の識別に使
われ、認証システムや、ウェブよるサービスを閲覧者ごとにカスタマイズするために利用される。
3
http://www.ipa.go.jp/security/fy17/reports/virus-survey/index.html

2

2.ソフトウェア製品の脆弱性の処理状況

表 3．ソフトウェア製品の脆弱性の処理件数

2007 年第 4 四半期のソフトウェア製品の脆弱性の処理状況

分類

は、JPCERT/CC が調整を行い、製品開発者が脆弱性の修正

修正完了を完了し、JVN4で対策情報を公表したものは 31 件でした。製品開発者からの届出のうち製品開発者が個別対応を行ったも

件数

累計件数

公表済み

31 件

242 件

個別対応

0件

12 件

のは 0 件、製品開発者が脆弱性ではないと判断したものは 2

脆弱性ではない2件

31 件

件、告示で定める届出の対象に該当せず不受理としたものは 8

不受理

8件

87 件

41 件

372 件

25 件

254 件

件でした。これらの取扱いを終了したものの合計は 41 件（累計合計

372 件）です。この結果、取扱い中（製品開発者が調査、対応

取扱い中中のもの）が 25 件増加し、254 件となりました（表 3）。

今四半期のソフトウェア製品の脆弱性対策情報の公表件数は、31 件と過去最多となりました。このほか、海外の CSIRT5から JPCERT/CC が連絡を受けた 17 件（累計 303 件）を JVN で公表しました（図 5）。
70
国内発見者から届出があったもの
国内発見者から届出があったもの(累計)60

海外のCSIRTから連絡を受けたもの
海外のCSIRTから連絡を受けたもの（累計）

238

50

四
半
期
件
数

183

40
30
20
10
0

34

54
17

71 97
45
30

114
59

133

147
89

67

117

203
170

286
261
193

211

303

350
300

242

142

250
200
150
100

累
計
件
数

50

3 12 7 22 7 20 13 17 15 26 14 17 8 19 22 14 28 36 25 20 28 35 23 23 18 25 31 170

3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q
2004 2004 2005 2005 2005 2005 2006 2006 2006 2006 2007 2007 2007 2007

図５.ソフトウェア製品の脆弱性対策情報の公表件数の四半期別推移
なお、2007 年第 4 四半期において、JVN で対策情報を公表した主なものは、以下のとおりです。

(1) 「一太郎シリーズ」の脆弱性6
日本語ワープロソフトの「一太郎シリーズ」の文書ファイルを読みこむ処理に、バッファオーバーフローの脆弱性が存在し、ウェブブラウザの種類によっては、悪意のある URL にアクセスするだけで被害を受ける可能性がありました。この脆弱性が悪用されると、システムが破壊されたり、ウイルスやボットに感染させられたりしてしまう
可能性があり、10 月 25 日に JVN で対策情報を公表しました。

(2) 「SonicStage CP」の脆弱性7
音楽管理ソフトウェアの「SonicStage CP」のプレイリストファイルを取り込む処理に、バッファオーバーフローの脆弱性が存在し、12 月 4 日に JVN で対策情報を公表しました。
本件は、製品開発者自身から届出があり、JPCERT/CC が製品開発者と調整を行ない公表したものです。今後も、製品開発者に脆弱性対策情報を利用者へ周知徹底するための JVN の活用を求めます。

(3) 「Lhaplus」の脆弱性8
電子ファイルのデータを lzh 形式や zip 形式などに圧縮・解凍する Lhaplus に、バッファオーバーフローの4Japan Vulnerability Notes。脆弱性対策情報ポータルサイト。国内で利用されている製品の脆弱性対策情報を公開し、システムのセキュリティ対策を支援しています。IPA、JPCERT/CC が共同で運営しています。http://jvn.jp/
5Computer Security Incident Response Team。コンピュータセキュリティインシデント対応チーム。コンピュータセキュリ
ティに関するインシデント（事故）への対応・調整・サポートをする組織です。
6
本脆弱性の深刻度=レベル II（警告）、CVSS 基本値=6.8、別紙の表 1-2 項番 8 を参照下さい。
7
本脆弱性の深刻度=レベル II（警告）、CVSS 基本値=6.8、別紙の表 1-2 項番 15 を参照下さい。
8
本脆弱性の深刻度=レベル II（警告）、CVSS 基本値=6.8、別紙の表 1-2 項番 14 を参照下さい。

3

脆弱性が存在しました。この製品に関して、前四半期に注意喚起を行いましたが、異なる個所に脆弱性があり、再度、11 月 22 日に JVN で対策情報を公表しました。
また、類似の機能を持つソフトウェアの「PowerArchiver」「WinAce」にも同様の脆弱性が見つかっており、それぞれ 10 月 5 日、12 月 25 日に JVN で対策情報を公表しました。

(4) 「AirStation シリーズ」および「BroadStation シリーズ」の脆弱性9
ネットワーク機器の「AirStation シリーズ」および「BroadStation シリーズ」に組込まれたソフトウェアに、クロスサイト・リクエスト・フォージェリ(CSRF)の脆弱性があり、10 月 12 日に JVN で対策情報を公表しました。

(5) 「Webmin」の脆弱性10
OS のファイル編集やサーバ設定などを行えるようにするソフトウェアの「Windows 版 Webmin」に、OS コマン
ド・インジェクションの脆弱性が存在しました。この弱点が悪用されると、任意の OS コマンドが実行される可能性があり、10 月 3 日に JVN で対策情報を公表しました。
また、（4）のような組込みソフトウェアの脆弱性は、今四半期までに累計で 13 件公表しました（図 6）。対象となる組込み機器の内訳は、ルータやスイッチなどのネットワーク機器が 5 件、プリンタやハードディスクなどの周辺機器が 3 件、携帯電話が 3 件、DVD レコーダなどの情報家電が 2 件となっています（図 7）。
今後、情報家電がインターネットに接続されるようになると、組込みソフトウェアの脆弱性の顕著化が予測され、組込みソフトウェアの開発者は、製品の開発段階からセキュリティの考慮が必要です。
年間件数

15

13

累計件数

情報
家電, 2

10

件
数

10

携帯
電話, 3

7

5

0

ネット
ワーク
機器, 5

周辺
機器, 3

2

5

3

3

2004

2005

2006

2007

図７.組込みソフトウェアの脆弱性の
対象機器

図６.組込みソフトウェアの脆弱性の修正完了件数の年別推移

これらのソフトウェア製品の脆弱性の処理状況の詳細は別紙の 1 章を参照下さい。
表 4．ウェブサイトの脆弱性の処理件数

3.ウェブサイトの脆弱性の処理状況

分類2007 年第 4 四半期のウェブサイトの脆弱性の処理状況は、IPA

件数

累計件数

修正完了

93 件

748 件

ウェブサイト運営者が脆弱性ではないと判断したものは 20 件、ウ

脆弱性ではない

20 件

131 件

ェブサイト運営者と連絡が不可能なものが 0 件、告示で定める届

連絡不可能

0件

7件

出の対象に該当せず不受理としたものは 4 件でした。これらの取

不受理

4件

76 件

117 件

962 件

-37 件

161 件

が通知を行い、ウェブサイト運営者が修正を完了したものは 93 件、扱いを終了したものの合計は 117 件（累計 962 件）です。この結果、取扱い中（ウェブサイト運営者が調査、対応中のもの）のもの
が 37 件減少し、161 件となりました（表 4）。

合計
取扱い中

今四半期のウェブサイトの脆弱性の修正完了件数は、93 件と過去最多となりました（図 8）。
910

本脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.0、別紙の表 1-2 項番 4 を参照下さい。
本脆弱性の深刻度=レベル III（危険）、CVSS 基本値=9.0、別紙の表 1-2 項番 1 を参照下さい。

4

180
ウェブサイト脆弱性の修正完了
160

629

140

四
半
期
件
数

120
100
80
60
40

60

20
0

900

ウェブサイト脆弱性の修正完了(累計)

42

18

110

148

50

214

38

269

360

323

415

477

748

655

800
700

543

600
500
400
300

累
計
件
数

200
55

66

54

37

55

62

86

66

93

26

100
0

3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q
2004 2004 2005 2005 2005 2005 2006 2006 2006 2006 2007 2007 2007 2007

図８.ウェブサイトの脆弱性の修正完了件数の四半期別推移(１) ウェブサイトの脆弱性で 90 日以上も対策が完了していないものが 95 件となりました
IPA は、ウェブサイト運営者へ脆弱性の詳細情報を送付してから脆弱性対策の返信がない場合、1～2 カ月
毎にウェブサイト運営者へ、メールや郵送手段などで脆弱性対策を促しています。
今四半期は修正が長期化しているウェブサイトに対し、脆弱性が攻撃された場合の具体的な脅威を丁寧に解説するなど、特に重点的に脆弱性対策を促しました。この結果、図 9 に示すように、90 日以上も対策が完了していないものが前四半期から 22 件減少し 95 件（前四半期は 117 件）となりました。
60
50

件
数

120

その他

95

SQLインジェクション

40

クロスサイト・スクリプティング

30

累計件数（右目盛）

20
10
0

8
6
2
900日
以上

11
2
1
899～
800日

15
2
2
799～
700日

23
2
4

2
699～
600日

80

66
39

25
11
599～
500日

5

30
1
22
499～
400日

100

4

8

14

1
5
3

14

11

399～
300日

299～
200日

199～
90日

60
40

累
計
件
数

20
0

図９.修正が長期化しているウェブサイトの未修正の経過日数と脆弱性の種類
なお、300 日以上も対策が完了していないものが、39 件（前四半期は 50 件）あります。ウェブサイトの情報が盗まれてしまう可能性のある SQL インジェクションのように、深刻度の高い脆弱性でも修正が長期化しているものがあります。ウェブサイト運営者は脆弱性を攻撃された場合の脅威を認識し、早期に対策を講じるが必要があります。
これらのウェブサイトの脆弱性の処理状況の詳細は、別紙の 2 章を参照下さい。
■ 本件に関するお問い合わせ先
独立行政法人 情報処理推進機構 セキュリティセンター
Tel: 03-5978-7527 Fax: 03-5978-7518 E-mail: vuln‐inq@ipa.go.jp
有限責任中間法人 JPCERT コーディネーションセンター
Tel: 03-3518-4600 Fax: 03-3518-4602 E-mail: office@jpcert.or.jp■ 報道関係からのお問い合わせ先
独立行政法人 情報処理推進機構 戦略企画部広報グループ 横山／佐々木
Tel: 03-5978-7503 Fax:03-5978-7510 E-mail: pr‐inq@ipa.go.jp
有限責任中間法人 JPCERT コーディネーションセンター 経営企画室 広報 江田
Tel:03-3518-4600 Fax:03-3518-4602 E-mail: pr@jpcert.or.jp

5

別紙

1. ソフトウェア製品の脆弱性の処理状況の詳細
1.1 ソフトウェア製品の脆弱性の処理状況
ソフトウェア製品の脆弱性関連情報の届出について、処理状況を図 1-1 に示します。今四半期に公表した脆弱性は、31 件（累計 242 件）です。また、「不受理」としたものは 8 件（累計 87件）です。
取扱い終了：244件
2006年
12月末

142

69

8 25

(括弧内の数値は、今四半期に合計： 「公表」「個別対応」「脆弱性では428件 ない」と判断されたものの件数)

184

284件
2007年
3月末

170

75

10 29

181

合計：465件

311件
2007年
6月末

193

79

10 29

200

合計：511件

331件
2007年
9月末

211

12 29

79

229

合計：560件

372件(41件)
2007年
12月末

12 31

公表済み 242 (31)(0) (2)

不受理

合計：
626件

取扱い中 25487(8)個別対応 脆弱性ではない

0

100

200

300

400

500

600

700

公表済み:

JVN で脆弱性への対応状況を公表したもの

個別対応:

製品開発者からの届出のうち、製品開発者が個別対応したもの

脆弱性ではない:

製品開発者により脆弱性ではないと判断されたもの

不受理:

告示で定める届出の対象に該当しないもの

取扱い中:

製品開発者が調査、対応中のもの

図 1-1.ソフトウェア製品 各時点における脆弱性関連情報の届出の処理状況

1.2 届出られた製品の種類
届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報 626
件のうち、不受理のものを除いた 539 件の製品種類別の内訳を図 1-2 に示します。
図 1-2 に示すように、IPA に届出があった脆弱性には、「ウェブアプリケーションソフト」に関するものが多くあります。

10%
1%
1%
2%
2%
3%

39% (38%)

3%
3%
3%
4%
(3%)
8%
(8%)

12% (12%)

ウェブアプリケーションソフト
ウェブブラウザ
グループウェア
アプリケーション開発・実行環境
メールソフトウェブサーバシステム管理ソフト
アンチウイルスソフト
ルータ
検索システム
ファイル管理ソフト
ワープロソフトOS
その他

9%(539件の内訳、グラフの括弧内は前四半期の数字)(10%)※その他には、携帯機器、情報家電、パソコンの周辺機器、データベース、プロキシなどがあります。

図1-2.ソフトウェア製品の脆弱性 製品種類別内訳(届出受付開始から2007年12月末まで)

1

図 1-3 にオープンソースソフトウェアとそれ以外のソフトウェアの脆弱性の届出件数の推移を示します。
2005 年第 3 四半期以降、オープンソースソフトウェアの届出が増加し、今四半期も 10 件の届出がありました。
140
オープンソースソフトウェア

120

それ以外
37

100
80
60
40
20
0

10

57

2
19

1
18

1
13

4
9

3Q
2004

4Q

1Q
2005

2Q

15

16

88
11

18

27

24

29

3Q

4Q

1Q
2006

2Q

21

10

20

18

27

26

1Q
2007

2Q

3Q

4Q

12
37
3Q

56

4Q

図1-3.オープンソースソフトウェアの脆弱性の届出件数

1.3 脆弱性の原因と脅威
届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報 626
件のうち、不受理のものを除いた 539 件の原因別の内訳を図 1-4 に、原因別の届出件数の推移を図 1-5に、脅威別の内訳を図 1-6 に示します。
図 1-4 に示すように、脆弱性の原因は「ウェブアプリケーションの脆弱性」が最多であり、図 1-6 に示す
ように、脅威についても「任意のスクリプト実行」が最多となっています。これは、「ウェブアプリケーションソ
フト」以外のソフトウェア製品であっても、ウェブブラウザから管理、使用するものが多くあり、そこに脆弱性が存在するためで、この傾向は図 1-5 に示すように 3 年以上も続いています。

5%
ウェブアプリケーションの脆弱性

13%

バッファのチェックの不備
仕様上の不備

1%
2%

63%
(62%)

3%
(3%)
3%
(4%)
4%
(4%)

ファイルのパス名、内容のチェックの不備
セキュリティコンテキストの適用の不備
アクセス制御の不備証明書の検証に関する不備
その他実装上の不備

6%(6%)

その他ウェブに関連する不備(539件の内訳、グラフの括弧内は前四半期の数字)

図1-4.ソフトウェア製品の脆弱性 原因別内訳(届出受付開始から2007年12月末まで)

2

120

その他ウェブに関連する不備

100

証明書の検証に関する不備

120

その他実装上の不備

100

アクセス制御の不備

80
80

セキュリティコンテキストの適用の不備

60
60

仕様上の不備

ファイルのパス名、内容のチェックの不備
バッファのチェックの不備
ウェブアプリケーションの脆弱性

40
40
20
20

00
3Q
3Q
2004
2004

1Q 2Q
2Q 3Q
3Q 4Q
4Q 1Q
1Q 2Q
2Q 3Q
3Q 4Q4Q 1Q1Q 2Q2Q 3Q3Q 4Q4Q
1Q
2005
2006
2007
2005
2006
2007
図1-5. ソフトウェア製品の脆弱性
原因別内訳(届出受付開始から2007年12月末まで)
図1-5
ソフトウェア製品の脆弱性
原因別内訳(届出受付開始から2007年12月末まで)

2%
2%
3%
3%

4Q
4Q

1%

1% 4%
1%

3%
4%
49%
(48%)

5%
(5%)
6%
(6%)
7%
(6%)

9% (9%)

任意のスクリプトの実行
情報の漏洩
なりすまし
任意のコードの実行
サービス不能任意のコマンドの実行
任意のファイルへのアクセス
認証情報の漏洩通信の不正中継アクセス制限の回避
アプリケーションの異常終了
セッション・ハイジャック
資源の枯渇
証明書等の確認不能
その他(539件の内訳、グラフの括弧内は前四半期の数字)

図1-6. ソフトウェア製品の脆弱性 脅威別内訳 (届出受付開始から2007年12月末まで)

1.4 ソフトウェア製品の脆弱性情報の調整および公表状況
JPCERT/CC は、表 1-1 に示す 2 種類の脆弱性関連情報について、日本国内の製品開発者等の関係者との調整、および海外 CSIRT11 の協力のもと、海外の製品開発者との調整を行っています。これらの脆弱性関連情報に対する製品開発者の対応状況は、IPA と JPCERT/CC が共同運営している脆弱性対策情報ポータルサイト JVN（Japan Vulnerability Notes）において公表しています（URL：
http://jvn.jp/ ）表 1-1．脆弱性関連情報の提供元別 脆弱性公表件数
情報提供元
今期
累計
国内の発見者から IPA に届出があったもの、および、製品開発者自身
31 件 242 件①
から自社製品の脆弱性、対策方法について連絡を受けたもの② 海外 CSIRT 等と連携して公表したもの
17 件 303 件
計
48 件 545 件

11

CSIRT（Computer Security Incident Response Team）は、コンピュータセキュリティに関するインシデント（事故）への対応や調整、サポートをするチームのことです。

3

（1）国内の発見者および製品開発者から届出があり公表した脆弱性
届出受付開始から 2007 年 12 月末までの届出について、脆弱性関連情報の届出（表 1-1 の①）を受理してから製品開発者が対応状況を公表するまでに要した日数を図 1-7 に示します。届出受付開始から
各四半期末までの 45 日以内に公表される件数が 34%と減少し、公表日数が増加する傾向にあります。
製品開発者は脆弱性への早急な対応をお願いします。
45 日以内の公表件数の割合
2007/2Q まで
2007/3Q まで
36%
36%

34% (45日以内の公表)

全体（242件)

17件 20件 21件

24件

74件

0%

10%

20%

30%

55件

46～100日

21～30日～10日
31～45日11～20日101～200日

40%

50%

2007/4Q まで
34%

60%

70%

13件 18件
201～300日
301～日

80%

90%

100%

図1-7. ソフトウェア製品の脆弱性 公表日数
表 1-2 に、国内の発見者、製品開発者から届出を受け、今四半期に公表した脆弱性を示します。
オープンソースソフトウェアに関して開発者、開発コミュニティに通知し公表したものが 7 件（表1-2 の*1）、製品開発者自身から自社製品に関する脆弱性対策情報について連絡を受け公表したものが 2 件（表 1-2 の*2）、複数の製品開発者のソフトウェア製品に影響がある脆弱性が 1 件（表1-2 の*3）あり、組込みソフトウェア製品の脆弱性が 1 件（表 1-2 の*4）ありました。
表 1-2.2007 年第 4 四半期に JVN で公表した脆弱性
項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN
CVSS
公表日 基本値

脆弱性の深刻度=レベル III（危険）、CVSS 基本値=7.0～10.0

1

ウェブベースのシステム管理ツール「Webmin」には、利Webmin における用者からの入力の処理に問題がありました。このため、 2007 年
OS コマンド・イン
Webmin を設置しているコンピュータにおいて、ローカ 10 月 3
ジェクションの脆
ルシステム権限で任意の OS コマンドを実行される可能 日
弱性性がありました。

9.0

脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.0～6.9

2

Apple 製ウェブブラウザ「Safari」には、HTTPS 通信によSafari においてり保護されているページの内容が、同じドメインの保護
HTTP 通信のページ
2007 年
されていない HTTP 通信のページからアクセス可能な脆から HTTPS 通信の
10 月 1
弱性が存在しました。このため、HTTPS 通信で保護されページにアクセス
日ているページの内容が、同じドメインの HTTP 通信のペ可能な脆弱性ージから取得、変更される可能性がありました。

4.0

3

PowerArchiver におけるバッファオー
バーフローの脆弱性

ファイル圧縮・展開ソフト「PowerArchiver」には、バッ2007 年
ファオーバーフローの脆弱性が存在しました。このた
10 月 5め、利用者のコンピュータ上で任意のコードを実行され日る可能性がありました。

6.8

AirStation シリーズ バッファロー製ルータである「AirStation シリーズ」およおよび BroadStation び「BroadStation シリーズ」のウェブ設定画面には、ク2007 年
4 シリーズにおける ロスサイト・リクエスト・フォージェリの脆弱性が存在
10 月 12(*4) クロスサイト・リク しました。ウェブ設定画面にログインした状態で悪意あ日
エスト・フォージェ るページにアクセスした場合、パスワードなどの設定がリの脆弱性変更される可能性がありました。

4.0

4

項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN
CVSS
公表日 基本値

Mozilla Firefox 用の拡張機能ソフト
MouseoverDictionary「MouseoverDictionary」には、サイドバーに HTML ペー 2007 年
5 において任意のス
ジを出力する際の処理に問題がありました。このため、 10 月 12(*1) クリプトが実行さ意図しないスクリプトが実行されてしまう可能性があ
日
れる脆弱性
りました。

5.8

一太郎シリーズに
バッファオーバー
フローの脆弱性

ジャストシステムが提供する「一太郎シリーズ」には、バッファオーバーフローの脆弱性が存在しました。7,8 2007 年で修正された問題とは異なります。このため、ウェブサ 10 月 25
イト等でファイルを見るだけで、利用者のコンピュータ 日
上で任意のコードを実行される可能性がありました。

6.8

一太郎シリーズに
バッファオーバー
フローの脆弱性

ジャストシステムが提供する「一太郎シリーズ」には、バッファオーバーフローの脆弱性が存在しました。6,8 2007 年で修正された問題とは異なります。このため、ウェブサ 10 月 25
イト等でファイルを見るだけで、利用者のコンピュータ 日
上で任意のコードを実行される可能性がありました。

6.8

一太郎シリーズに
バッファオーバー
フローの脆弱性

ジャストシステムが提供する「一太郎シリーズ」には、バッファオーバーフローの脆弱性が存在しました。6,7 2007 年で修正された問題とは異なります。このため、ウェブサ 10 月 25
イト等でファイルを見るだけで、利用者のコンピュータ 日
上で任意のコードを実行される可能性がありました。

6.8

NetCommons におけ コンテンツ管理システム「NetCommons」には、ウェブ
2007 年
9 るクロスサイト・ス ページを出力する際のエスケープ処理に漏れがありま
11 月 5(*1) クリプティングの した。このため、第三者によりウェブページにスクリプ
日
脆弱性
トを埋め込まれる可能性がありました。

4.3

10

Lotus Domino にお グループウェア「Lotus Domino」には、ウェブページを2007 年
けるクロスサイ出力する際のエスケープ処理に漏れがありました。この11 月 7
ト・スクリプティン ため、第三者によりウェブページにスクリプトを埋め込日
グの脆弱性
まれる可能性がありました。

4.3

11

UPDIR.NET 製
画像ファイル管理ソフト「UPDIR.NET 製 updir.php」にupdir.php における は、ウェブページを出力する際のエスケープ処理に漏れ 2007 年
クロスサイト・スク がありました。このため、第三者によりウェブページに 11 月 9
リプティングの脆 スクリプトを埋め込まれる可能性がありました。
日
弱性

4.3

RSS データを JavaScript に変換するソフト「Feed2JS」にFeed2JS におけるクは、JavaScript プログラムの出力に、任意の JavaScript を 2007 年
12 ロスサイト・スクリ
埋めこめる問題がありました。このため、第三者により 11 月 20(*1) プティングの脆弱
ウェブページにスクリプトを埋め込まれる可能性があ
日
性
りました。

4.3

13

FileMaker における データベースソフト「FileMaker」には、ウェブページを2007 年
クロスサイト・スク 出力する際のエスケープ処理に漏れがありました。この11 月 21
リプティングの脆 ため、第三者によりウェブページにスクリプトを埋め込日
弱性
まれる可能性がありました。

4.3

14

ファイル圧縮・展開ソフト「Lhaplus」には、バッファオ
Lhaplus におけるバ2007 年
ーバーフローの脆弱性が存在しました。このため、利用
ッファオーバーフ
11 月 22者のコンピュータ上で任意のコードを実行される可能ローの脆弱性日
性がありました。

6.8

6

7

8

5

項番

脆弱性

SonicStage CP にお15 けるバッファオー(*2) バーフローの脆弱性

未対策状態でのセキュリティ上の問題点

JVN
CVSS
公表日 基本値

音楽管理ソフト「SonicStage CP」には、バッファオーバ
2007 年
ーフローの脆弱性が存在しました。このため、利用者の12 月 4コンピュータ上で任意のコードを実行される可能性が日ありました。

6.8

16

グループウェア「サイボウズ Office」には、HTTP リク
サイボウズ Office にエストを処理する際にサーバリソースを過剰に消費す2007 年
おけるサービス運る問題がありました。このため、サーバの処理速度が極 12 月 11
用妨害(DoS)の脆弱
端に低下し、サービス不能状態になる可能性がありまし 日
性
た。

4.3

17

複数のサイボウズ 複数のサイボウズ製品には、ウェブページを出力する際
2007 年
製品におけるクロ のエスケープ処理に漏れがありました。19 で修正された
12 月 11
スサイト・スクリプ 問題とは異なります。このため、第三者によりウェブペ
日ティングの脆弱性 ージにスクリプトを埋め込まれる可能性がありました。

4.3

18

複数のサイボウズ 複数のサイボウズ製品には、HTTP ヘッダを出力する際
2007 年
製品における HTTP の処理に問題がありました。このため、第三者によりウ
12 月 11
ヘッダインジェク ェブページに偽の情報が表示される可能性や意図しな
日ションの脆弱性いスクリプトが実行されてしまう可能性がありました。

4.3

19

複数のサイボウズ 複数のサイボウズ製品には、ウェブページを出力する際
2007 年
製品におけるクロ のエスケープ処理に漏れがありました。17 で修正された
12 月 11
スサイト・スクリプ 問題とは異なります。このため、第三者によりウェブペ
日ティングの脆弱性 ージにスクリプトを埋め込まれる可能性がありました。

4.3

20

Rainboard における 掲示板ソフト「Rainboard」には、ウェブページを出力す2007 年
クロスサイト・スク る際のエスケープ処理に漏れがありました。このため、12 月 12
リプティングの脆 第三者によりウェブページにスクリプトを埋め込まれ日
弱性る可能性がありました。

4.3

21

JP1/Cm2/Network
ネットワーク管理ソフト「JP1/Cm2/Network Node ManNode Manager にお ager」には、ウェブページを出力する際のエスケープ処 2007 年
けるクロスサイ理に漏れがありました。このため、第三者によりウェブ 12 月 13日
ト・スクリプティン ページにスクリプトを埋め込まれる可能性がありまし
グの脆弱性
た。

4.3

Apache HTTP Server Apache HTTP Server のサーバサイドイメージマップ処理の mod_imap および モジュール「mod_imap」および「mod_imagemap」には、
22
2007 年
mod_imagemap にお ウェブページを出力する際のエスケープ処理に漏れが(*1)
12 月 13
けるクロスサイありました。このため、第三者によりウェブページにス(*3)
日
ト・スクリプティン クリプトを埋め込まれる可能性がありました。
グの脆弱性

4.3

ウェブ上で音声やアニメーションを再生するためのソFlash Player におい
フト「Flash Player」には、任意の HTTP ヘッダが送信可 2007 年て任意の HTTP ヘッ
能な問題がありました。このため、HTTP ヘッダを基に 12 月 20
ダが送信可能な脆したセキュリティ対策を迂回される可能性がありまし
日
弱性
た。

4.3

23

6

項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN
CVSS
公表日 基本値

24

Sun Java System Web ウェブサーバ「Sun Java System Web Server」および「SunJava System Web Proxy Server」には、ログ閲覧機能にク
Server および Sun
Java System Web
ロスサイト・スクリプティングの問題がありました。
2007 年
Proxy Server におけ このため、第三者によりウェブページにスクリプトを埋 12 月 21
るクロスサイト・ス め込まれる可能性がありました。
日クリプティングの
脆弱性

4.3

25

ファイル圧縮・展開ソフト「WinAce」には、バッファオ
WinAce におけるバ2007 年
ーバーフローの脆弱性が存在しました。このため、利用
ッファオーバーフ
12 月 25者のコンピュータ上で任意のコードを実行される可能ローの脆弱性日
性がありました。

6.8

Apple Webkit 用拡張機能ソフト「GreaseKit」および「Creammonkey」には、本来ウェブページ上のスクリプ
2007 年
トから許可されていない関数が実行できる問題がありました。このため、第三者により任意のサイトへ HTTP 12 月 26
リクエストを送信されたり、ユーザスクリプトの設定値 日の読み書きが行われたりする可能性がありました。

4.0

GreaseKit および
26 Creammonkey にお(*1) ける許可されてい(*2) ない関数が実行される脆弱性

脆弱性の深刻度=レベル I（注意）、CVSS 基本値=0.0～3.9
Sleipnir および Grani ウェブブラウザ「Sleipnir」および「Grani」には、お気にのお気に入り検索 入り機能の検索結果を出力する際のエスケープ処理に2007 年
機能において任意 漏れがありました。このため、意図しないスクリプトが 11 月 13のスクリプトが実 実行される可能性がありました。
日行される脆弱性

2.6

RoundCube Webmail ウェブメールソフト「RoundCube Webmail」には、クロにおけるクロスサ スサイト・リクエスト・フォージェリの脆弱性が存在し 2007 年
28
イト・リクエスト・ ました。このため、メールの件名などの一部情報が漏え 11 月 19(*1)
フォージェリの脆 いする可能性がありました。
日
弱性

2.6

HttpLogger における ウェブページの閲覧履歴全文検索ソフト「HttpLogger」
2007 年
クロスサイト・スク には、ウェブページを出力する際のエスケープ処理に漏
12 月 7
リプティングの脆 れがありました。このため、第三者によりウェブページ
日
弱性にスクリプトを埋め込まれる可能性がありました。

4.3

ウェブアプリケーション開発支援のためのフレームワ
Google Web Toolkitーク「Google Web Toolkit」には、ウェブページを出力す 2007 年
30 におけるクロスサ
る際のエスケープ処理に漏れがありました。このため、 12 月 18(*1) イト・スクリプティ
第三者によりウェブページにスクリプトを埋め込まれ日
ングの脆弱性
る可能性がありました。

2.6

27

29

31

Flash Player におけるクロスドメイン
ポリシーファイル
の扱いに関する脆
弱性

ウェブ上で音声やアニメーションを再生するためのソ
フト「Flash Player」には、クロスドメインポリシーファ 2007 年
イルの扱いに問題がありました。このため、クロスドメ 12 月 20
インポリシーで許可していないウェブページにアクセ
日スされる可能性がありました。

(*1)：オープンソースソフトウェア製品の脆弱性、(*2)：製品開発者自身から届出られた自社製品の脆弱性、(*3)：複数開発者・製品に影響がある脆弱性、(*4)：組込みソフトウェアの脆弱性

72.6

（2）海外 CSIRT 等と連携して公表した脆弱性
JPCERT/CC が海外 CSIRT 等と連携して公表した脆弱性 25 件には、通常の脆弱性情報 6 件（表 1-3）と、対応に緊急を要する Technical Cyber Security Alert（表 1-4）の 11 件とが含まれます。これらの脆弱性
情報は、通常関連する登録済み製品開発者へ通知したうえ、JVN に掲載しています。
表 1-3.米国 CERT/CC12等と連携した脆弱性関連情報および対応状況
項
番

脆弱性

対応状況

1

JRE(Java Runtime Environment)に遠隔の第三者がネットワークリソースへ接複数製品開発者へ通知
続可能な脆弱性

2

CUPS におけるバッファオーバーフローの脆弱性

注意喚起として掲載

3

Mozilla Firefox における jar URI にクロスサイト・スクリプティングの脆弱性

注意喚起として掲載

4

Apple QuickTime RTSP の Content-Type ヘッダの処理にスタックバッファオ
緊急案件として掲載
ーバーフローの脆弱性

5Apple Mail に任意のコマンドが実行される脆弱性

注意喚起として掲載

6

ジャストシステム製品に任意のコードが実行される脆弱性

特定製品開発者へ通知

表 1-4.米国 US-CERT13と連携した脆弱性関連情報および対応状況
項番

脆弱性

1

Microsoft 製品における複数の脆弱性

2

Oracle 製品に複数の脆弱性

3

Microsoft Windows における URI 処理の脆弱性に対する Adobe 製品のアップデート

4

リアルネットワークス RealPlayer におけるプレイリストの処理にバッファオーバーフローの脆弱性

5Apple QuickTime に複数の脆弱性

6

Microsoft 製品における複数の脆弱性

7Apple の Mac 製品に複数の脆弱性

8Apple QuickTime の RTSP 処理にバッファオーバーフローの脆弱性

9

Microsoft 製品における複数の脆弱性

10Apple 製品における複数の脆弱性

11

Adobe Flash player における複数の脆弱性に対するアップデート

12

CERT/Coordination Center。1998 年のウイルス感染事件を契機に米国カーネギーメロン大学に設置された CSIRT。
13
United States Computer Emergency Readiness Team。米国の政府系 CSIRT。
8

2. ウェブサイトの脆弱性の処理状況の詳細
2.1 ウェブサイトの脆弱性の処理状況
ウェブサイトの脆弱性関連情報の届出について、処理状況を図 2-1 に示します。
図 2-1 に示すように、ウェブサイトの脆弱性について、今四半期中に処理を終了したものは 117 件（累計 962 件）でした。このうち、「修正完了」したものは 93 件（累計 748 件）、ウェブサイト運営者により「脆弱性ではない」と判断されたものは 20 件（累計 131 件）でした。なお、メールでウェブサイト運営者と連絡が取れない場合は、電話や郵送手段で連絡を試みたり、レンタルサーバ会社と連絡を試みたりしていますが、それでも、ウェブサイト運営者から回答がなく「取扱い不可能」なものは 0 件(累計 7 件)です。「不受理」としたものは 4 件（累計 76 件）でした。
取扱いを終了した累計 962 件のうち、「連絡不可能」「不受理」を除く累計 879 件（91%）は、指摘された点が解消されていることが、ウェブサイト運営者により確認されています。
「修正完了」したものうちのウェブサイト運営者からの依頼を受け、当該脆弱性が適切に修正されたかど
うかを IPA が確認したものは 11 件（累計 124 件）、ウェブサイト運営者が当該ページを削除することにより対応したものは 6 件（累計 68 件）、ウェブサイト運営者が運用により被害を回避しているものは 1 件（累計 19 件）でした。
取扱い終了: 607件
2006年
12月末

71 1346

477

142

合計
749件

(括弧内の数字は、今四半期に「修正完了」「脆弱性ではない」と判断されたもの等の件数)

696件
2007年
3月末

149

78 13 62543

合計845件

792件
2007年
6月末

148

87 7 69629

合計940件

845件
2007年
9月末

198

111 7 72655
962件(117件)

2007年
12月末

連絡不可能

修正完了

内容確認済

748 (93)124(11)

内該当ページ
を削除

68(6)

内運用で
回避

19(1)

131

7 76

200

400

600

取扱い中

161

(20) (0)(4)

脆弱性ではない0

合計1043件

800

合計
1123件

不受理

1000

図 2-1.ウェブサイト各時点における脆弱性関連情報の届出の処理状況
修正完了確認済
当該ページを削除
運用で回避
脆弱性ではない
連絡不可能
不受理： ウェブサイト運営者により脆弱性が修正されたもの：
修正完了のうち、IPA が修正を確認したもの：
修正完了のうち、当該ページを削除して対応したもの：
修正完了のうち、運用により被害を回避しているもの： ウェブサイト運営者により脆弱性はないと判断されたもの： ウェブサイト運営者からの回答がなく、取扱いができないもの： 告示で定める届出の対象に該当しないもの

取扱い中： ウェブサイト運営者が調査、対応中のもの

9

1200

2.2 ウェブサイトの脆弱性の種類と脅威届出受付開始から今四半期末までに IPA に届出られたウェブサイトの脆弱性関連情報 1,123 件のうち、不受理のものを除いた 1,047 件について、種類別内訳を図 2-2 に、種類別の届出件数の推移を図
2-3 に、脅威別内訳を図 2-4 に示します14。

1%
1%
2%
2%
2%
2%
2%
2%
(3%)
3%
(3%)
5%
(5%)

7%

43%
(44%)

クロスサイト・スクリプティング
SQLインジェクション
ファイルの誤った公開
DNS情報の設定不備
パス名パラメータの未チェック
HTTPレスポンス分割
メールの第三者中継
セッション管理の不備
ディレクトリ・トラバーサル
価格等の改ざんクロスサイト・リクエスト・フォージェリHTTPSの不適切な利用その他(1047件の内訳、グラフの括弧内は前四半期の数字)

28%(26%)

図2-2.ウェブサイトの脆弱性 種類別内訳 (届出受付開始から2007年12月末まで)

120
その他
HTTPSの不適切な利用100

クロスサイト・リクエスト・フォージェリ
価格等の改ざん80

セッション管理の不備
ディレクトリ・トラバーサル

60

メールの第三者中継
HTTPレスポンス分割
パス名パラメータの未チェック

40

DNS情報の設定不備
ファイルの誤った公開

20

SQLインジェクション
クロスサイト・スクリプティング

0

2004

2005

2006

2007

3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q

図2-3.ウェブサイトの脆弱性 種類別件数の推移 (届出受付開始から2007年12月末まで)

14

それぞれの脆弱性の詳しい説明については付表 2 を参照してください。

10

3%

2% 1%1%
2%

2%

本物サイト上への偽情報の表示
データの改ざん、消去

3%

29%
(28%)

6%
(6%)

Cookie情報の漏洩
個人情報の漏洩
サーバ内ファイルの漏洩
なりすまし
ドメイン情報の挿入
ウェブキャッシュ情報のすり替え

11%
(10%)

メールシステムの不正利用
踏み台
利用者のセキュリティレベルの低下

26% (25%)

14%
(15%)

その他

(1047件の内訳、グラフの括弧内は前四半期の数字)

図2-4.ウェブサイトの脆弱性 脅威別内訳 (届出受付開始から2007年12月末まで)
今四半期も「クロスサイト・スクリプティング」が多く届出られ（図 2-3）、脆弱性の種類は「クロスサイト・スク
リプティング」「SQL インジェクション」が全体の 7 割をしめます（図 2-2）。
また「クロスサイト・スクリプティング」や「SQL インジェクション」の脅威である、「本物サイト上への偽情報の表示」「Cookie 情報の漏洩」「データの改ざん、消去」が約 7 割をしめています（図 2-4）。
ウェブサイト運営者は、引き続き脆弱性を作りこまないように注意してください。

2.3 ウェブサイトの脆弱性の修正状況
届出受付開始から 2007 年 12 月末までの届出の中で、実際にウェブアプリケーションを修正したものについて、ウェブサイト運営者に脆弱性の詳細情報を通知してから修正されるまでに要した日数およびその傾向を、脆弱性の種類別に図 2-5 および図 2-6 に示します。全体の 53%の届出が 30 日以内、全体の78%の届出が 90 日以内に修正されています。

90 日以内の修正件数の割合
2007/2Q まで
2007/3Q まで
79%
79%

2007/4Q まで
78%

78%(90日以内の修正)
クロスサイト・スクリプティング(352件)

100

SQLインジェ クショ ン(131件)

90

DNS情報の設定不備(28件)80

ファ イルの誤った公開(17件)70

ディレクトリ・トラバーサル(11件)

HTTPレスポンス分割(21件0
セッショ ン管理の不備(11件)
メールの第三者中継(9件)60

HTTPSの不適切な利用(8件)
クロスサイト・リクエスト・フォージェ リ(8件)50

その他(46件)

40
30
20
10
0
当日

1日

2日

3日

4日
6日
11日
21日
31日
51日
91日 201日 301日～～5日 ～10日 ～30日 ～30日 ～50日 ～90日 ～200日 ～300日

図2-5.ウェブサイトの修正に要した日数

11クロスサイト・スクリプティング(352件)
SQLインジェクション(131件)
DNS情報の設定不備(28件)
HTTPレスポンス分割(21件)
ファイルの誤った公開(17件)セッション管理の不備(11件)
ディレクトリ・トラバーサル(11件)
メールの第三者中継(9件)
クロスサイト・リクエスト・フォージェリ(8…
HTTPSの不適切な利用(8件)
その他(46件)～10日

11日～20日

0%

20%

40%

21日～30日

31日～50日

51日～90日

60%
91日～200日

80%
201日～300日

100%
301日～

図2-6.ウェブサイトの修正に要した日数の傾向

3. 関係者への要望
脆弱性の修正を促進していくための、各関係者への要望は以下のとおりです。

(1)ウェブサイト運営者
多くのウェブサイトのソフトウェアに脆弱性が発見されています。自身のウェブサイトでどのようなソフトウ
ェアを利用しているかを把握し、セキュリティ対策を実施することが必要です。
なお、脆弱性の理解にあたっては、以下のコンテンツが利用できます。
「知っていますか？脆弱性（ぜいじゃくせい）」：http://www.ipa.go.jp/security/vuln/vuln_contents/(2)製品開発者
JPCERT/CC は、ソフトウェア製品の脆弱性関連情報について、「製品開発者リスト」に基づき、一般公表日の調整等を行います。迅速な調整を進められるよう、「製品開発者リスト」への登録を求めます（URL：http://www.jpcert.or.jp/vh/）。また、製品開発者自身で脆弱性を発見、修正された場合も、利用者への対策情報の周知のために JVN を活用できます。JPCERT/CC もしく
は IPA への連絡を求めます。

(3)一般インターネットユーザ
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がけていただくことが必要です。脆弱性があるソフ
トウェアを使い続けることは避けなければなりません。

(4)発見者
脆弱性関連情報の適切な流通のため、届出られた脆弱性関連情報は、脆弱性が修正されるまでの期
間は第三者に漏れぬよう、適切に管理されることを要望します。

12

参考付表 1. ソフトウェア製品 脆弱性の原因分類
脆弱性の原因1

2

説明

届出において想定された脅威

設定情報の漏洩通信の不正中継アクセス制御を行うべき個所において、アクセス制御
アクセス制御の不備
なりすましが欠如している
任意のスクリプトの実行
認証情報の漏洩
アクセス制限の回避
価格等の改ざん
サービス不能
資源の枯渇
重要情報の漏洩
ウェブアプリケーションに対し、入力された情報の内
情報の漏洩
ウェブアプリケーショ 容の解釈や認証情報の取扱い、出力時の処理に問セッション・ハイジャックンの脆弱性
題がある。「クロスサイト・スクリプティング」攻撃や通信の不正中継「SQL インジェクション」攻撃などに利用されてしまう
なりすまし
任意のコマンドの実行
任意のスクリプトの実行
任意のファイルへのアクセス
認証情報の漏洩
RFC 等の公開された規格に準拠して、設計、実装しサービス不能た結果、問題が生じるもの。プロトコル上の不備があ
資源の枯渇る場合、ここに含まれる

3

仕様上の不備4

ウェブブラウザやメールクライアントソフトに証明書を証明書の検証に関す証明書の確認不能
検証する機能が実装されていない、または、検証が
る不備
なりすまし
正しく行われずに、偽の証明書を受けいれてしまう

5

アプリケーションの異常終了
本来、厳しい制限のあるセキュリティコンテキストで取セキュリティコンテキ
情報の漏洩り扱うべき処理を、緩い制限のセキュリティコンテキス
ストの適用の不備
任意のコードの実行
トで処理してしまう
任意のスクリプトの実行

6

想定外の長さの入力が行われた場合に、長さをチェ サービス不能
バッファのチェックのックせずバッファに入力してしまう。「バッファオーバ 任意のコードの実行
不備
ーフロー」攻撃に利用されてしまう。
任意のコマンドの実行

7

処理の際のパラメータとして指定されているディレクト
アプリケーションの異常終了
リ名やファイル名、ファイルの内容をチェックしていな
サービス不能ファイルのパス名、内 い。任意のディレクトリのファイルを指定できてしま
資源の枯渇
容のチェックの不備 い、「ディレクトリ・トラバーサル」攻撃に利用されてし任意のファイルへのアクセスまう。また、破損したファイルや不正に書き換えられ認証情報の漏洩たファイルを処理した際に不具合が生じる

1

付表 2 ウェブサイト脆弱性の分類
脆弱性の種類

深刻度

説明

届出において想定された脅威

個人情報の漏洩
一般に公開すべきでないファイルが公開されてお サーバ内ファイルの漏洩
り、自由に閲覧できる状態になっている
データの改ざん、消去
なりすまし
ユーザからの入力を処理する際のパラメータとして指定されているファイル名を、ユーザが変更し、ウェ
サーバ内ファイルの漏洩
ブサーバ上の任意のディレクトリのファイルを指定で
きてしまう

1

ファイルの誤った公開高2

パス名パラメータの
未チェック

高

3

ディレクトリ･トラバーサル

高ウェブサーバ上のディレクトリのアクセス権を超え
個人情報の漏洩て、本来許可されている範囲外のディレクトリにアク
サーバ内ファイルの漏洩
セスできる

4

セッション管理の不備高セッション管理に、推測可能な情報を使用している
Cookie 情報の漏洩ため、他のユーザの情報が容易に推測でき、他の個人情報の漏洩
ユーザになりすまして、サービスを利用することがで
なりすまし
きる

5

SQL インジェクション

高入力フォームなどへ SQL コマンド（データベースへ 個人情報の漏洩の命令）を入力し、データベース内の情報の閲覧、 サーバ内ファイルの漏洩
更新、削除などができる
データの改ざん、消去

6

DNS 情報の設定不備

高DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名の持ち主であるかのよう ドメイン情報の挿入にふるまえてしまう

7

オープンプロキシ

中

外部の第三者により、他のサーバへのアクセスを中継するサーバとして利用され、不正アクセスなどの 踏み台
際にアクセス元を隠すための踏み台にされてしまう

8

クロスサイト･
スクリプティング

中

Cookie 情報の漏洩
サーバ内ファイルの漏洩
ユーザの Cookie 情報を知らないうちに転送させた
個人情報の漏洩り、偽の情報を表示させたりするような罠のリンクを
データの改ざん、消去
ユーザにクリックさせ、個人情報等を盗むことができなりすましる
本物サイト上への偽情報の表示

9

クロスサイト・リクエ
スト・フォージェリ中

ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそかにアクセスさせ、登録 データの改ざん、消去
情報の変更や商品の購入をさせることができる
攻撃者がユーザに対し、悪意のある要求をウェブサーバに送信するように仕向けることで、ウェブサーバ ウェ ブキャッ シュ情報のからの応答を分割させて応答内容をすり替え、ユー すり替え
ザに対して偽のページを表示させることができる
ユーザに対し、ソフトウェアをインストールさせたり、ブラウザのセキュリティレベルを下げるよう指示する 利用者のセキュリティレベ
ことでクライアント PC のセキュリティ設定を低下させ ルの低下
る

HTTP レスポンス分
10 割

中

セキュリティ設定の11 不適切な変更

中リダイレクタの不適
12 切な利用中

ウェブサーバに設置したリダイレクタが悪意あるリン 踏み台
クへの踏み台にされたり、そのウェブサイト上で別の 本物サイト上への偽情報
サイト上のページを表示させられてしまうの表示

中

ウェブサイトのサービスやブラウザの機能として提供
利用者のセキュリティレベ
されているフィルタリング機能が回避される問題。こルの低下
れにより、本来制限されるはずのウェブページを閲
なりすまし
覧してしまうフィルタリングの回13 避

2

脆弱性の種類深刻度

OS コマンド・インジ
14 ェクション中

メールの第三者中
15 継

低HTTPS の 不 適 切
16 な
利用

低

17 価格等の改ざん

低届出において想定された脅威説明

攻撃者がウェブアプリケーションを介してウェブサー
バの OS コマンドを実行できてしまい、サーバ内フ
任意のコマンドの実行
ァイルの閲覧やシステム操作、不正なプログラムの実行などを行われてしまう
利用者が入力した内容を管理者が指定したメール
アドレスに送信する機能で、外部の利用者が宛先メ メールシステムの不正利
ールアドレスを自由に指定できてしまい、迷惑メー 用
ル送信の踏み台に悪用される
HTTPS による暗号化をしているが、暗号の選択や設定が十分でなかったり、ウェブサイトでのユーザ
なりすましへの説明に間違いがある、または、ウェブサイトの設計上、ユーザから証明書が確認できない
ショッピングサイトにおいて、価格情報等が利用者側で書き換えられる。書き換えによる被害は、ウェブ データの改ざん
サイト側に限定される

・API: Application Program Interface

・RFC: Request For Comments

・CGI: Common Gateway Interface

・SQL: Structured Query Language

・DNS: Domain Name System

・SSI: Server Side Include

・HTTP: Hypertext Transfer Protocol

・SSL: Secure Socket Layer

・HTTPS: Hypertext Transfer Protocol Security

・TCP: Transmission Control Protocol

・URI: Uniform Resource Identifier・URL: Uniform Resource Locator・ISAKMP : Internet Security Association
Key Management Protocol
・MIME: Multipurpose Internet Mail Extension

付図１．「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み）
脆弱性関連情報流通体制

ユーザ
ユーザー
脆弱性関連
情報届出

ソフトウェア
製品の脆弱性

脆弱性関連
情報通知

脆弱性関連情報の報告された脆弱性
内容確認・検証
関連情報の内容確認

発見者
W e b サイトの脆弱性

受付・分析機関
受付機関
報告された

調整機関

ソフト
開発者等

分析支援機関【期待効果】

脆弱性対策情報ポータル

公表日の決定、
海外の調整機関
との連携等

対応状況等
対応状況
対策方法等
公表公表

システム導入
支援者等

政府
企業
個人

セキュリティ対策推進協議会等

分析機関
脆弱性関連
情報届出

対策情報ポータル

対応状況の集約、
公表日の調整等

産総研など報告された脆弱性
脆弱性関連情報通知
脆弱性関連情報通知
関連情報の検証W e b サイト運営者

Webサイト運営者
検証、対策実施
検証、対策実施

個人情報の漏えい時は事実関係を公表
個人情報漏洩時は事実関係を公表①製品開発者及びウェブサイト運営者による脆弱性対策を促進②不用意な脆弱性関連情報の公表や脆弱性の放置を抑制③個人情報等重要情報の流出や重要システムの停止を予防※IPA：独立行政法人 情報処理推進機構、JPCERT/CC：有限責任中間法人 JPCERT コーディネーションセンター、産総研：独立行政法人 産業技術総合研究所

3