プレスリリース
2006 年 10 月 17 日
独立行政法人 情報処理推進機構
有限責任中間法人 JPCERT コーディネーションセンター

ソフトウエア等の脆弱性関連情報に関する届出状況 [2006 年第 3 四半期（7 月〜9 月）]
独立行政法人 情報処理推進機構（略称：IPA、理事長：藤原 武平太）および有限責任中間法人
JPCERT コーディネーションセンター（略称：JPCERT/CC、代表理事：歌代 和正）は、経済産業省告示に基づき、2004 年 7 月から脆弱性関連情報の取扱いを開始しています。IPA は脆弱性関連情報の届出
受付、JPCERT/CC は国内の製品開発者などの関連組織との調整を行っています。今般、2006 年第 3
四半期（7 月〜9 月）の脆弱性関連情報の届出状況をとりまとめました。
1．今四半期の届出件数(1)今四半期のソフトウエア製品の脆弱性関連情報：37 件（届出受付開始からの累計は 294 件）

・届出

・脆弱性公表：28 件（届出受付開始からの累計は 117 件）(2)今四半期のウェブアプリケーション（ウェブサイト）の脆弱性関連情報：97 件（届出受付開始からの累計は 661 件）

・届出・修正完了 ：54 件（届出受付開始からの累計は 351 件）
2．今四半期までの届出状況
2004 年 7 月 8 日に脆弱性関連情報の届出受付を開始してから 2 年 3 ヶ月が経過し、今四半期までにソフトウエア製品に関するもの 294 件、ウェブアプリケーション（ウェブサイト）に関するもの 661 件、累計 955 件の届出がありました（図 1）。第 4 四半期には 1,000 件を超えるものと見込まれます。
発見者が届出時に想定した脅威別に内訳をすると、ソフトウエア製品に関しては「任意のスクリプト(*1)の実行（41%）」、「情報の漏えい（10%）」、「なりすまし（8%）」が上位を占めています（図 2）。また、
ウェブアプリケーション（ウェブサイト）に関しては「データの改ざん、消去（25%）」、「本物サイト上への偽情報の表示（20%）」、「Cookie(*2)情報の漏えい（20%）」が上位を占めています（図 3）。
1 6 0

届出の累計件数

ソフトウェア製品に関する届出

件
1 4 0

9 0 0

四半期件数

6 8 0
1 0 2

9 7

1 0 0

5 7 3
7 3

8 0

7 1

6 7

6 0

3 4 1
2 5 6

4 0

1 9

9 2

1 3

1 7 2

3 3

4 1

5 0 0

5 7

5 6

4 0 0

3 7

3 5

3 0 0
2 0 0

1 9

1 3

7 0 0
6 0 0

8 4
7 2

4 7 6

6 6

件

8 0 0

1 0 0

0

0

3 Q

4 Q

2004年

1 Q

2 Q

3 Q

2005年

4 Q

1 Q

2 Q

3 Q

2006年

図１.脆弱性の届出件数の四半期別推移

その他(41%)

任意のスクリプトの実行(41%)

その他(35%)

データの改ざん、消去(25%)

本物サイト上への偽情報の表示(20%)
Cookie情報の漏えい(20%)

情報の漏えい(10%)
なりすまし(8%)
図２.ソフトウェア製品の脆弱性（脅威別内訳）

図３.ウェブアプリケーションの脆弱性（脅威別内訳）

1

届出の累計件数

8 2 1

ウェブアプリケーションに関する届出

1 2 0

2 0

1 0 0 0

9 5 5

IPA では、届出件数の多い脆弱性を取り上げ、脆弱性の原因そのものをなくす根本的な解決策と、攻撃による影響の低減を期待できる保険的な対策を示した「安全なウェブサイトの作り方」を公表(*3)しています。本資料がウェブサイトのセキュリティ問題の解決の一助となれば幸いです。
(*1)：スクリプト
機械語へと変換する作業を省略して実行できるようにした簡易プログラム（通常のプログラムは、コンピュータが理解できる機械語へ変換してから実行される）。スクリプト言語には、JavaScript や
VBScript などがある。
(*2)：Cookie
Web サーバと Web ブラウザとの間で、ユーザに関する情報やアクセス情報などをやりとりするための仕組み。「クッキー」と呼ぶ。
(*3)：「安全なウェブサイトの作り方」
http://www.ipa.go.jp/security/vuln/20060131_websecurity.html■ 本件に関するお問い合わせ先
独立行政法人 情報処理推進機構 セキュリティセンター
Tel: 03-5978-7527

Fax: 03-5978-7518

E-mail: vuln-inq@ipa.go.jp

有限責任中間法人 JPCERT コーディネーションセンター
Tel: 03-3518-4600

Fax: 03-3518-4602

E-mail: office@jpcert.or.jp■ 報道関係からのお問い合わせ先
独立行政法人 情報処理推進機構 戦略企画部広報グループ 横山／佐々木
Tel: 03-5978-7503

Fax:03-5978-7510

E-mail: ipa-pr@ipa.go.jp

有限責任中間法人 JPCERT コーディネーションセンター 経営企画室 広報 江田
Tel:03-3518-4600

Fax:03-3518-4602

2

E-mail: pr@jpcert.or.jp

別紙１

1. 届出状況2006 年 7 月 1 日から 9 月 30 日までの IPA への脆弱性関連情報の届出件数は、134 件（ソフトウエ
ア製品に関するもの 37 件、ウェブアプリケーションに関するもの 97 件）であり、届出受付開始（2004
年 7 月 8 日）からの累計は 955 件（ソフトウエア製品に関するもの 294 件、ウェブアプリケーションに関するもの 661 件）です。四半期毎の届出状況を図 1-1 に示します。1 就業日あたりの届出件数は 1.75
件であり、前四半期より増加しています。
1 就業日あたりの届出件数（届出開始から各四半期末時点）
2005/2Q

2005/3Q

2005/4Q

2006/1Q

2006/2Q

2006/3Q

1.43

1.58

1.59

1.61

1.70

1.75

120

661
564

100

600

507
435

四 80
半
期 60
件
数 40

277

20

64

500

379

173
72

33

138
56
41

35

2005/3Q

2005/4Q

2006/1Q

97

19

294

257

102
66

700

97

84
57
37

0

累
400 計
300 件
数
200
100
0

〜2005/2Q

ソフトウエア製品に関す る届出
ソフトウエア製品に関す る届出（累計）2006/2Q

2006/3Q

ウェブ アプ リケー ションに関す る届出
ウェブ アプ リケー ションに関す る届出（累計）

図 1-1 脆弱性関連情報の四半期別届出件数の推移（1） ソフトウエア製品の脆弱性
ソフトウエア製品の脆弱性関連情報の届出について、処理状況を図 1-2 に示します。
図 1-2 に示すとおり、今四半期中に公表した脆弱性は、28 件（累計 117 件）です。また、「不受理」としたものは 11 件（累計 53 件）です。
（括弧内の数字は、今四半期に「公表」、取扱い終了：82件「脆弱性でない」と判断されたもの等の件数）

2006年
3月末

67

15

61

30

合計173件

106件
2006年
6月末

89

17

109

合計257件

42

136件(30件)
2006年
9月末

19
(2)

公表済み

117 (28)

取扱い中

不受理

105

53(11)

合計294件

脆弱性ではない
0

50

100

150

200

250

公表済み
脆弱性ではない： JVN で脆弱性への対応状況を公表したもの： 製品開発者により脆弱性ではないと判断されたもの

取扱い中
不受理

： 製品開発者が調査、対応中のもの： 告示で定める届出の対象に該当しないもの

300

図 1-2 ソフトウエア製品 各時点における脆弱性関連情報の届出の処理状況

3350

（2） ウェブアプリケーションの脆弱性
ウェブアプリケーションの脆弱性関連情報の届出について、処理状況を図 1-3 に示します。
図 1-3 に示すとおり、ウェブアプリケーションの脆弱性については、今四半期中に処理を終了したもの
は 64 件（累計 452 件）でした。このうち、「修正完了」したものは 54 件（累計 351 件）、ウェブサイト運
営者により「脆弱性はない」と判断されたものは 10 件（累計 63 件）ありました。「修正完了」したものうちの 6 件（累計 82 件）はウェブサイト運営者からの依頼を受け、当該脆弱性が適切に修正されたかどうかを IPA が確認しました。
このほか、「不受理」としたものが 4 件（累計 42 件）ありました。「連絡不可能」の届出のうち、15 件は修正されています。その中には、ウェブサイト運営者からの回答がないためレンタルサーバ会社と連絡を取り修正が確認できたサイト、脆弱箇所の記述が削除されていることが確認できたサイトがあります。
また、12 件は、当該ページ自体が削除されており、脆弱性がなくなっていることを確認しています。メー
ルや電話でウェブサイト運営者と連絡が取れない場合は、郵送手段などでの連絡を試みています。
（括弧内の数字は、今四半期に「修正完了」、「脆弱性ではない」と判断されたもの等の件数）

取扱い終了：292件
2006年
3月末

266

49

10 22

87

38

合計507件

35

388件
2006年
6月末

297

53

14 24

99

39

修正確認
済み 1 5452件(64件)
2006年
9月末

修正完了

内確認済

63
(10)

351 (54)82(6)脆弱性ではない
0

100

200

運用で回避

300

400

14 24
(0) (0)

合計564件38

削除 未修正/1 2 不明 12

取扱い中
128

42
(4)

合計
661件

当該ページを削除 連絡不可能 不受理
500

修正完了
脆弱性ではない
運用で回避
当該ページを削除
確認済： ウェブサイト運営者により脆弱性が修正されたもの： ウェブサイト運営者により脆弱性はないと判断されたもの： 修正はせず、運用により被害を回避しているもの： 修正ではなく当該ページを削除することで対応されたもの： 修正完了のうち、IPA が修正を確認したもの

取扱い中
連絡不可能
不受理

： ウェブサイト運営者が調査、対応中のもの： ウェブサイト運営者からの回答がなく、取扱いができないもの： 告示で定める届出の対象に該当しないもの

図 1-3 ウェブアプリケーション 各時点における脆弱性関連情報の届出の処理状況

4

39
(0)

600

700

別紙 2

2. ソフトウエア製品の脆弱性関連情報の取扱いおよび調整
2.1

ソフトウエア製品の脆弱性情報

図 2-1 に、届出受付開始から今四半期までに IPA に届出られたソフトウエア製品の内訳を示します。
2005Q3 からオープンソースソフトウエアに関する届出が増加しており、今期は 20 件ありました。
100
80
27
60
40
20

17

0

18

26

15

15

10

2005Q3

2005Q4

2006Q1

2

2005Q225

オープンソース

57

17
20

2006Q2

2006Q3

それ以外

図 2-1 ソフトウエア製品の脆弱性 内訳（届出受付開始から 2006 年 9 月末まで）
届出受付開始から今四半期までに IPA に届出られたソフトウエア製品に関する脆弱性関連情報 294
件のうち、不受理のものを除いた 241 件の製品種類別の内訳を図 2-2 に、原因別の内訳を図 2-3 に、
脅威別の内訳を図 2-4 に示します。

1%
1%
1%
1%
1%
2%
2%
2%
4%
4%
5%(6%)

1%

1%

1%

1%

4%

41%(43%)

6%(6%)
8%(8%)

12%(13%)※その他には、周辺機器、ワープロソフト等があります

ウェブアプリケーションソフト
ウェブブラウザ
グループウェア
アプリケーション開発・実行環境
メールソフトアンチウイルスソフト
システム管理ソフトOS
検索システムウェブサーバ
プロキシ
ルータ
IP 電話
携帯機器
SSL-VPNソフト
ネーム・ディレクトリサーバ
ファイル交換システム
データベース
情報家電
その他（241 件の内訳、グラフの括弧内は前四半期の数字）

図 2-2 ソフトウエア製品の脆弱性 製品種類別内訳（届出受付開始から 2006 年 9 月末まで）
図 2-2 に示すように、IPA に届出があった脆弱性には、「ウェブアプリケーションソフト」に関するものが多くあります。また、パソコンなどのコンピュータ上で動くソフトウエアだけでなく、携帯機器や情報家電、パソコンの周辺機器などに関するものが含まれています。

5

12%

ウェブアプリケーションの脆弱性
ファイルのパス名、内容のチェックの不備

7%

セキュリティコンテキストの適用の不備

2%

アクセス制御の不備

3%バッファのチェックの不備

3%(3%)
60%(56%)

3%(4%)

証明書の検証に関する不備
仕様上の不備4%(5%)

その他ウェブに関連する不備

6%(7%)

その他実装上の不備（241 件の内訳、グラフの括弧内は前四半期の数字）

図 2-3 ソフトウエア製品の脆弱性 原因別内訳（届出受付開始から 2006 年 9 月末まで）1

1%

2%

1%

3%

3%
3%
3%
4%

41%(39%)4%4%5%(6%)
7%(7%)
8%(8%)

10%(11%)

任意のスクリプトの実行
情報の漏洩
なりすまし
サービス不能認証情報の漏洩
任意のコマンドの実行
任意のファイルへのアクセス
通信の不正中継
任意のコードの実行
アプリケーションの異常終了
セッション・ハイジャック
資源の枯渇
URL等の表示の偽装証明書の確認不能
その他（241 件の内訳、グラフの括弧内は前四半期の数字）

図 2-4 ソフトウエア製品の脆弱性 脅威別内訳（届出受付開始から 2006 年 9 月末まで）
図 2-3 に示すように、脆弱性の原因は「ウェブアプリケーションの脆弱性」が最多であり、図 2-4 に示す
ように、脅威についても「任意のスクリプト実行」が最多となっています。これは、「ウェブアプリケーション
ソフト」以外のソフトウエア製品であっても、ウェブブラウザから管理、使用するものが多くあり、そこに脆弱性が存在するためです。
今期、製品開発者により脆弱性でないと判断された届出として、「XOOPS において、セッション ID の固定化（Session Fixation）が可能」というものがありました。「セッション ID の固定化」を防止するには、
ウェブアプリケーション（「XOOPS」など）を修正する方法と、それ以外2の部分で対処する方法があります。本届出は、製品開発者により脆弱性ではないと判断されましたが、「XOOPS」は、第三者がセッショ
ン ID を固定できないようプログラムが変更されましたので、ウェブサイトの管理者はアップデートしてください。
1

それぞれの脆弱性の詳しい説明については付録を参照してください。
ウェブアプリケーション側で対処しない場合は、「Cookie Monster」と呼ばれるドメインをまたがった Cookieのセットができてしまう問題を抱えたブラウザ（Mozilla、Firefox などが該当）をそのウェブアプリケーションのログインに使用しないようにする必要があります。また、加えて、ウェブアプリケーションサーバ製品に「セッション ID の固定化」の脆弱性がある場合には、パッチを適用するか、設定で回避する必要があります。
2

6

2.2

ソフトウエア製品の脆弱性情報の調整および公表状況

JPCERT/CC は、表 2-1 に示す 2 種類の脆弱性関連情報について、日本国内の製品開発者等の関係者、および海外 CSIRT3の協力のもと、海外の製品開発者との調整を行っています。これらの脆弱性
関連情報に対する製品開発者の対応状況は、IPA と JPCERT/CC が共同運営している脆弱性対策情報ポータルサイト JP Vendor status Notes（JVN）において公表しています（URL： http://jvn.jp/）。
表 2-1 脆弱性関連情報の提供元別 脆弱性公表件数
情報提供元

今期

累計

①

国内の発見者から IPA に届出があったもの、および、製品開発者自身から自社製品の脆弱性、対策方法について連絡を受けたもの

28

117

②

海外 CSIRT から連絡を受けたもの

27

129

計

55

246

（1） 国内の発見者および製品開発者から届出があり公表した脆弱性
届出受付開始から 2006 年 9 月末までの届出について、脆弱性関連情報の届出（表 2-1 の①）を受理してから製品開発者が対応状況を公表するまでに要した日数を図 2-5 に示します。全体の 38％の届出が 45 日以内に公表されています。
45 日以内の公表件数の割合
2006/2Q まで
2006/3Q まで
48%
38%

全体
（117件）

9件

0%

17件

10%

9件

20%

10件

30%

〜 10日
46日 〜 100日

40件

40%

50%

11日 〜 20日
101日 〜 200日

21件

60%

70%

21日 〜 30日
201日 〜 300日

80%

6件 5件

90%

100%

31日 〜 45日
301日 〜

図 2-5 ソフトウエア製品の脆弱性 公表日数
表 2-2 に、国内の発見者、製品開発者から届出を受け、今四半期に公表した脆弱性を示します。
複数の製品開発者のソフトウエア製品に影響がある脆弱性は、1 件（項番 1）であり、特定の製品に関する脆弱性は 27 件でした。なお、19 件（表 2-2 内の*1）はオープンソースソフトウエアに関して開発者、
開発コミュニティに通知し、公表したものです。
表 2-2 2006 年第 3 四半期に JVN で公表した脆弱性
項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN 公表日

複数開発者・
製品に影響がある脆弱性

複数の Wiki クローン製 複数の Wiki クローン製品には、特定のリクエスト 2006 年
品におけるサービス運 を処理する際にサーバリソースを過剰に消費する 7 月 3 日
1
用妨害 (DoS) の脆弱 問題があります。このため、サーバの処理速度が(*1)
極端に低下し、サービス不能状態になる可能性が
性
あります。

3

CSIRT（Computer Security Incident Response Team）は、コンピュータセキュリティに関するインシデント（事故）への対応や調整、サポートをするチームのことです。

7

項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN 公表日「 ACollab 」 に お け る ウェブグループウェアシステム「ACollab」は、ユー 2006 年
SQL インジェクションの ザから入力された内容を元に SQL 文を組み立て 7 月 6 日
2
る処理に問題があります。このため、第三者によ脆弱性(*1)
り任意の SQL 命令を実行される可能性があります。
「ATutor」におけるクロス e ラーニング用コンテンツ管理システム「ATutor」 2006 年
サイト・スクリプティング には、ウェブコンテンツ編集時の内容のエスケー 7 月 6 日
3
プ処理に漏れがあります。このため、第三者によ
の脆弱性
(*1)
りウェブページにスクリプトを埋め込まれる可能性があります。
「Ruby」において、alias オブジェクト指向スクリプト言語「Ruby」において、 2006 年
機能の問題でセーフレ 信頼できないプログラムによるファイルアクセスや 7 月 11 日
4 ベル 4 がサンドボック OS コマンドの実行などを制限するための「セーフ(*1) スとして機能しない脆弱 レベル」を回避できる脆弱性が確認されました。本
来制限しているはずの操作が実行されてしまう可性
能性があります。

特定製品の脆弱性「Ruby」において、特定 オブジェクト指向スクリプト言語「Ruby」において、 2006 年
メソッドの問題でセーフ 信頼できないプログラムによるファイルアクセスや 7 月 11 日
5 レベル 4 がサンドボッ OS コマンドの実行などを制限するための「セーフ(*1) クスとして機能しない脆 レベル」を回避できる脆弱性が確認されました。本
来制限しているはずの操作が実行されてしまう可弱性
能性があります。
6

7「ServerView」における サーバ監視ソフトウエア「ServerView」には、ウェ 2006 年
クロスサイト・スクリプテ ブページを出力する際のエスケープ処理に漏れが 7 月 12 日あります。このため、第三者によりウェブページにィングの脆弱性
スクリプトを埋め込まれる可能性があります。
「ServerView」における サーバ監視ソフトウエア「ServerView」には、ディ 2006 年
ディレクトリ・トラバーサ レクトリ・トラバーサルによって、意図しないファイ 7 月 12 日
ルを表示してしまう問題があります。ディレクトリ・
ルの脆弱性
トラバーサルによって、意図しないファイルを表示してしまう問題があります。

「Geeklog」におけるクロ ウェブコンテンツ構築・管理ソフト「Geeklog」に 2006 年
スサイト・スクリプティン は、ウェブページを出力する際のエスケープ処理 7 月 18 日
8に漏れがあります。このため、第三者によりウェブ
グの脆弱性
(*1)
ページにスクリプトを埋め込まれる可能性があります。

9「 Loudblog」 におけるク ポ ッ ド キ ャ ス ト 配 信 用 ブ ロ グ の 作 成 ソ フ ト 2006 年
ロスサイト・スクリプティ 「Loudblog」には、ウェブページを出力する際のエ 7 月 18 日
スケープ処理に漏れがあります。このため、第三ングの脆弱性者によりウェブページにスクリプトを埋め込まれる可能性があります。

「QwikiWiki」におけるク Wiki クローン「QwikiWiki」には、ウェブページを 2006 年
10 ロスサイト・スクリプティ 出力する際のエスケープ処理に漏れがあります。 7 月 18 日(*1) ングの脆弱性
このため、第三者によりウェブページにスクリプトを埋め込まれる可能性があります。

8

項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN 公表日「Dokeos」におけるクロ e ラーニング用ウェブアプリソフト「Dokeos」には、 2006 年
11 スサイト・スクリプティン ウェブページを出力する際のエスケープ処理に漏 7 月 31 日(*1) グの脆弱性
れがあります。このため、第三者によりウェブペー
ジにスクリプトを埋め込まれる可能性があります。
「 Pixelpost 」 に お け る ク アルバムソフト「Pixelpost」には、ウェブページを 2006 年
12 ロスサイト・スクリプティ 出力する際のエスケープ処理に漏れがあります。 7 月 31 日(*1) ングの脆弱性
このため、第三者によりウェブページにスクリプトを埋め込まれる可能性があります。
「桐」におけるディレクト 日本語データベースシステム「桐」には、メール解 2006 年
リ・トラバーサルの脆弱 析コマンドの添付ファイルの取り扱いが適切でな 8 月 10 日
いため、本来とは違うディレクトリにファイルを保存
13 性
できてしまう、ディレクトリ・トラバーサルの問題があります。
「04WebServer」におけ ウェブサーバソフトウエア「04WebServer」には、 2006 年
14 るクロスサイト・スクリプ エラーページを出力する際のエスケープ処理に漏 8 月 14 日(*1) ティングの脆弱性
れがあります。このため、第三者によりウェブペー
ジにスクリプトを埋め込まれる可能性があります。

特定製品の脆弱性「04WebServer」におけ ウェブサーバソフトウエア「04WebServer」には、 2006 年
15
るディレクトリ・トラバー ディレクトリ・トラバーサルによって、意図しないフ 8 月 14 日(*1)
ァイルを表示してしまう問題があります。
サルの脆弱性「NetCommons」におけ e ラーニング用ウェブアプリソフト「NetCommons」 2006 年
るクロスサイト・スクリプ には、ウェブページを出力する際のエスケープ処 8 月 14 日
16
理に漏れがあります。このため、第三者によりウェ
ティングの脆弱性(*1)
ブページにスクリプトを埋め込まれる可能性があります。
「Owl」における SQL イ ドキュメント管理・公開システム「Owl」には、ユー 2006 年
17 ンジェクションの脆弱性 ザからの入力を取り扱う際の処理が不適切なた 8 月 16 日(*1)
め、任意の SQL コマンドを実行されてしまう、
SQL インジェクションの問題があります。
「Owl」におけるクロスサ ドキュメント管理・公開システム「Owl」には、ウェブ 2006 年
18 イト・スクリプティングの ページを出力する際のエスケープ処理に漏れが 8 月 16 日(*1) 脆弱性あります。このため、第三者によりウェブページにスクリプトを埋め込まれる可能性があります。
「mail f/w system」にお メール送信ソフト「mail f/w system」には、ヘッダ 2006 年
いてメールの不正送信 部分に相当する入力値に対する検査が不適切な 8 月 23 日
19
ため、管理者が設定していない宛先に電子メールが可能な脆弱性を送信してしまう可能性があります。
「サイボウズ Office 6」に ウ ェ ブ ベ ー ス の グ ル ー プ ウ ェ ア 「 サ イ ボ ウ ズ 2006 年
おける情報漏洩の脆弱 Office 6」には、登録されているユーザおよびグル 8 月 28 日
20
ープに関する情報へのアクセス制限が不十分な性ため、これらの情報が漏えいしてしまう可能性があります。
複数のサイボウズ製品 サイボウズ社の複数のグループウェア製品には、 2006 年
21 におけるディレクトリ・ト ディレクトリ・トラバーサルによって、意図しないフ 8 月 28 日
ァイルを表示してしまう可能性があります。
ラバーサルの脆弱性

9

項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN 公表日ウ ェ ブ ブ ラ ウ ザ か ら シ ス テ ム を 管 理 す る 2006 年「Webmin」および「Usermin」にクロスサイ 「Webmin」および「Usermin」には、ウェブページ 8 月 31 日
22 ト・スクリプティングを含 を出力する際の処理が不適切なため任意のスク(*1) む複数の脆弱性
リプトを埋め込まれる可能性があります。また、本来制限されているはずのファイルの実行や閲覧ができてしまう可能性があります。
Microsoft Windows の Microsoft Windows の「インデックスサービス」に 2006 年「インデックスサービス」 は、Internet Information Services(IIS)と組み合 9 月 13 日
におけるクロスサイト・ス わせて検索機能を利用した場合に、第三者により
23
クリプティングの脆弱性 ウェブページに任意のスクリプトを埋めこめてしまう、クロスサイト・スクリプティングの問題があります。

特定製品の脆弱性「 MDPro 」 にお け る ク ロ コンテンツ管理システム「MDPro」には、ウェブペ 2006 年
24 スサイト・スクリプティン ージを出力する際のエスケープ処理に漏れがあり 9 月 21 日(*1) グの脆弱性ます。このため、第三者によりウェブページにスク
リプトを埋め込まれる可能性があります。
「 SugarCRM 」 に お け る オ ー プ ン ソ ー ス の 顧 客 管 理 シ ス テ ム 2006 年
クロスサイト・スクリプテ 「SugarCRM」には、ウェブページを出力する際の 9 月 26 日
25
エスケープ処理に漏れがあります。このため、第ィングの脆弱性(*1)
三者によりウェブページにスクリプトを埋め込まれる可能性があります。
「Movable Type」の検索 ウ ェ ブ ロ グ を 作 成 ・ 管 理 す る た め の シ ス テ ム 2006 年
機能におけるクロスサイ 「Movable Type」の検索機能には、ウェブページ 9 月 26 日
26 ト・スクリプティングの脆 を出力する際のエスケープ処理に漏れがあります。このため、第三者によりウェブページにスクリ
弱性プトを埋め込まれる可能性があります。
「Joomla!」におけるクロ コンテンツ管理システム「Joomla!」には、ウェブペ 2006 年
27 スサイト・スクリプティン ージを出力する際の処理に漏れがあります。この 9 月 28 日(*1)
ため、第三者によりウェブページにスクリプトを埋
グの脆弱性
(*2)
め込まれる可能性があります。
「Drupal」におけるクロス コンテンツ管理システム「Drupal」には、ウェブペ 2006 年
28 サイト・スクリプティング ージを出力する際のエスケープ処理に漏れがあり 9 月 28 日(*1)
ます。このため、第三者によりウェブページにスク
の脆弱性
(*2)
リプトを埋め込まれる可能性があります。

(*1) オープンソースソフトウエアの脆弱性(*2) 製品開発者により既知の脆弱性と判断されたが、対策情報を周知するため公表したもの（2）海外 CSIRT から連絡を受け公表した脆弱性
表 2-3、表 2-4 に、海外 CSIRT から連絡を受けた脆弱性を示します。海外 CSIRT から連絡を受けた
脆弱性情報は、登録された国内の製品開発者のうち関連する製品開発者へ通知したうえ、日本語訳を
JVN に掲載しています。今四半期は、米国 CERT/CC（Computer Emergency Response Team/
Coordination Center）から 24 件、英国 NISCC（National Infrastructure Security Co-ordination
Centre）から 3 件の合計 27 件の脆弱性関連情報の連絡を受けました。このほか、9 件の US-CERT
Technical Cyber Security Alert を JVN で公表しました。

10

表 2-3 CERT/CC から連絡を受けた脆弱性関連情報および対応状況
項番

脆弱性

対応状況

1

Juniper JUNOS において IPv6 パケット処理にメモリリークの脆弱性

注意喚起として掲載42

Microsoft PowerPoint に遠隔から任意のコードが実行可能な脆弱性

注意喚起として掲載

3

Apache httpd の mod_rewrite モジュールにおけるバッファオーバーフロー
注意喚起として掲載の脆弱性

4

Microsoft Windows の Server サービスにバッファオーバーフローの脆弱性 注意喚起として掲載

5

MIT Kerberos5 (krb5)の krshd および v4rcp の権限昇格に関する脆弱性 複数製品開発者へ通知

6Intel Centrino ワイヤレスネットワークドライバのフレーム処理に脆弱性

複数製品開発者へ通知

7

MIT Kerberos5 (krb5)の ftpd および ksu の権限昇格に関する脆弱性

複数製品開発者へ通知

8Sony VAIO Media のメディアサーバ機能における遠隔から攻撃可能なバ
特定製品開発者へ通知
ッファオーバフローの脆弱性

9Sony VAIO Media のメディアサーバコンポーネントにおけるバッファオーバ
特定製品開発者へ通知
ーフローの脆弱性

10Sony VAIO Media のメディアサーバコンポーネントにおけるディレクトリトラ
特定製品開発者へ通知
バーサルの脆弱性

11Sony VAIO Media のメディアサーバ機能におけるバッファオーバフローの
特定製品開発者へ通知
脆弱性12Sony SonicStage Mastering Studio におけるバッファオーバーフローの脆
特定製品開発者へ通知
弱性13Intel 2100 PRO ワイヤレスネットワークドライバにおけるメモリ破損の脆
複数製品開発者へ通知
弱性14

BIND において複数の再帰問合せ処理時に INSIST エラーが発生する脆弱複数製品開発者へ通知
性15

BIND の署名レコード問合せにおけるサービス運用妨害 (DoS)の脆弱性

複数製品開発者へ通知

16

複数の RSA 実装において署名が正しく検証されない脆弱性

注意喚起として掲載

17

Microsoft DirectAnimation パス ActiveX コントロールにおける入力値未チ
注意喚起として掲載
ェックの脆弱性

18

gzip の make_table() の配列処理における脆弱性

複数製品開発者へ通知

19gzip の LZH の取扱におけるバッファオーバーフローの脆弱性

複数製品開発者へ通知

20gzip の LZH の取扱いにおいて無限ループが引き起こされる脆弱性

複数製品開発者へ通知

21gzip におけるバッファオーバーフローの脆弱性

複数製品開発者へ通知

22gzip の huft_build() における NULL ポインタ参照の脆弱性

複数製品開発者へ通知

23

OpenSSL の SSLv2 クライアントコードに NULL データをチェックできない
複数製品開発者へ通知
脆弱性

24

OpenSSL の SSL_get_shared_ciphers()にバッファオーバフローの脆弱複数製品開発者へ通知
性4

国内の製品開発者へ通知・調整はしていませんが、国内で広く利用されているため、注意喚起として JVNに掲載しました。

11

表 2-4 NISCC から連絡を受けた脆弱性関連情報および対応状況
項番

脆弱性

対応状況

1

HP OpenView Storage Data Protector の脆弱性

特定製品開発者へ通知

2

BIND 9 ソフトウエアに複数のサービス運用妨害(DoS)の脆弱性

複数製品開発者へ通知

3X.509 証明書の検証におけるサービス運用妨害(DoS)の脆弱性

複数製品開発者へ通知

3. ウェブアプリケーションの脆弱性関連情報の取扱い
3.1

ウェブアプリケーションの脆弱性情報

届出受付開始から今四半期末までに IPA に届出られたウェブアプリケーションの脆弱性関連情報
661 件のうち、不受理のものを除いた 619 件について、種類別内訳を図 3-1 に、種類別の届出件数の推移を図 3-2 に、脅威別内訳を図 3-3 に示します。
1% 1%
1%
1%
1%
2%
2%
2%

クロスサイト・スクリプティング
SQLインジェクション
ファイルの誤った公開
DNS情報の設定不備
パス名パラメータの未チェック
HTTPレスポンス分割
41%(40%)価格等の改ざん
メールの第三者中継
セッション管理の不備
ディレクトリ・トラバーサル
クロスサイト・リクエスト・フォージェリ
オープンプロキシ
HTTPSの不適切な利用
セキュリティ設定の不適切な変更
リダイレクタの不適切な利用
その他（619 件の内訳、の括弧内は前四半期の数字）

6%

1%

4%
4%
(4%)
5%(5%)
5%(6%)

23%(21%)

図 3-1

ウェブアプリケーションの脆弱性種類別内訳（届出受付開始から 2006 年 9 月末まで）1

100
90
その他
80

リダイレクタの不適切な利用
セキュリティ設定の不適切な変更
HTTPSの不適切な利用
オープンプロキシ

70
60

クロスサイト・リクエスト・フォージェリ
50

ディレクトリ・トラバーサル
セッション管理の不備

40
30

メールの第三者中継
価格等の改ざん20

HTTPレスポンス分割
パス名パラメータの未チェック
DNS情報の設定不備

10

ファイルの誤った公開
SQLインジェクション

0
3Q
2004

図 3-2

4Q

1Q
2005

2Q

3Q

4Q

1Q
2006

2Q

3Q

クロスサイト・スクリプティング

ウェブアプリケーションの脆弱性種類別件数の推移（届出受付開始から 2006 年 9 月末まで）1
12

2%

0.3%

0.3%
1%

データの改ざん、消去
本物サイト上への偽情報の表示
Cookie情報の漏洩
個人情報の漏洩
サーバ内ファイルの漏洩
ドメイン情報の挿入
ウェブキャッシュ情報のすり替え
なりすまし
メールシステムの不正利用
利用者のセキュリティレベルの低下
踏み台
サーバ実装情報の漏洩
任意のコマンドの実行
その他

25%(25%)

2%
2%
3%
4%
5%
7%(8%)

9%(9%)
20%(22%)

20%(16%)

図 3-3（619 件の内訳、の括弧内は前四半期の数字）

ウェブアプリケーションの脆弱性脅威別内訳（届出受付開始から 2006 年 9 月末まで）

図 3-1 に示すように、脆弱性の種類は、「クロスサイト・スクリプティング」、「SQL インジェクション」が多くあります。
図 3-2 に示すように、「クロスサイト・スクリプティング」は届出開始当初から多く届出があります。
「SQL インジェクション」の届出は 2005 年第 2 四半期から急増していますが、届出の多くは、データベースのエラーメッセージが表示されたページを発見したというものです。これまでに取扱いを終了した 97 件のうち、問題が実際にあり修正したとの報告を受けたものは 6 割であり、残りの 4 割はエラーメッセージが表示されていただけで実際には SQL コマンドを挿入することはできず、「SQL インジェクション」の問
題はなかったとの報告を受けました。
図 3-3 に示すように、発見者が届出時に想定した脅威別では、「SQL インジェクション」により起こりうる「データの改ざん、消去」が最多であり、次いで「クロスサイト・スクリプティング」により起こりうる「本物サイト上への偽情報の表示」「Cookie 情報の漏洩」があります。
3.2 ウェブアプリケーションの脆弱性の修正状況
届出受付開始から 2006 年 9 月末までの届出について、ウェブサイト運営者に脆弱性の詳細情報を通知してから修正されるまでに要した日数およびその傾向を、脆弱性の種類別に図 3-3 および図 3-4 に示します。全体の 5 割の届出が 30 日以内、全体の 8 割の届出が 90 日以内に修正されています。
60

50

40

30

90 日以内の修正件数の割合
2006/2Q まで
2006/3Q まで
80%
81%

その他 (23件)
メー ルの第三者中継 (5件)
パス名パラメー タの未チェック (5件)
セキ ュリティ設定の不適切な変更 (5件)
デ ィレクトリ・トラバー サル (6件)
ファイルの誤った公開 (8件)セッション管理の不備 (11件)
HTTPレスポンス分割 (17件)
DNS情報の設定不備 (28件)
SQLインジェクション (62件)
クロスサイト・スクリプ ティング （181件）

20

10

0
当日

1日

2日

3日

図 3-4

4日
〜 5日

6日
〜 10日

11日
〜 20日

21日
〜 30日

31日
〜 50日

51日
91日
201日 301日 〜〜 90日 〜 200日 〜 300日

ウェブアプリケーションの脆弱性修正に要した日数

13クロスサイト・スクリプティング （181件）
SQLインジェクション (62件)
DNS情報の設定不備 (28件)
HTTPレスポンス分割 (17件)セッション管理の不備 (11件)
ファイルの誤った公開(8件)

デ ィレクトリ・トラバー サル(6件)

セキ ュリティ設定の不適切な変更(5件)

パス名パラメー タの未チェック(5件)

メー ルの第三者中継(5件)

その他 (23件)
全体 （351件）
0%

20%

40%

〜 10日

11日 〜 20日

21日 〜 30日

91日 〜 200日

201日 〜 300日

301日 〜

図 3-5

60%
31日 〜 50日

80%
51日 〜 90日

ウェブアプリケーションの脆弱性修正に要した日数の傾向

4. 皆様へのお願い
脆弱性の修正を促進していくため、以下のとおり、ご注意ください。
ウェブサイト運営者の皆様へ
多くのウェブアプリケーションのソフトウエアに脆弱性が発見されています。自身のウェブサイトでどのようなソフトウエアを利用しているかを把握し、セキュリティ対策を実施してください。
製品開発者の皆様へ
JPCERT/CC は、ソフトウエア製品の脆弱性関連情報について、整備している「製品開発者リスト」に基づき、一般公表日の調整等を行います。迅速な調整を進められるよう、「製品開発者リスト」への登録にご協力ください（URL：http://www.jpcert.or.jp/vh/）。また、製品開発者ご自身で脆弱性を発見、修正された場合も、利用者への対策情報の周知のために JVN を活用できます。IPA もしくは JPCERT/CC にご連絡下さい。
一般インターネットユーザの皆様へ
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がけてください。脆弱性があるソフトウエアを使
い続けることは避けましょう。

14

100%

参考 1

付表 1 ソフトウエア製品 脆弱性の原因分類
脆弱性の原因アクセス制御の不備
1

2

説明

届出において想定された脅威

アクセス制御を行うべき個所において、アクセス制 設定情報の漏洩
御が欠如している
通信の不正中継
なりすまし
任意のスクリプトの実行
認証情報の漏洩

ウェブアプリケーション ウェブアプリケーションに対し、入力された情報の内 アクセス制限の回避の脆弱性
容の解釈や認証情報の取扱い、出力時の処理に問 価格等の改ざん題がある。「クロスサイト・スクリプティング」攻撃や サービス不能「SQL インジェクション」攻撃などに利用されてしまう 資源の枯渇
重要情報の漏洩
情報の漏洩
セッション・ハイジャック
通信の不正中継
なりすまし
任意のコマンドの実行
任意のスクリプトの実行
任意のファイルへのアクセス
認証情報の漏洩仕様上の不備3

RFC 等の公開された規格に準拠して、設計、実装しサービス不能た結果、問題が生じるもの。プロトコル上の不備が資源の枯渇ある場合、ここに含まれる

4

証明書の検証に関する ウェブブラウザやメールクライアントソフトに証明書不備を検証する機能が実装されていない、または、検証 証明書の確認不能
が正しく行われずに、偽の証明書を受けいれてしま なりすましう

5

セキュリティコンテキスト 本来、厳しい制限のあるセキュリティコンテキストで アプリケーションの異常終了の適用の不備取り扱うべき処理を、緩い制限のセキュリティコンテ 情報の漏洩
任意のコードの実行
キストで処理してしまう
任意のスクリプトの実行

67

バッファのチェックの不備

想定外の長さの入力が行われた場合に、長さをチェ サービス不能
ックせずバッファに入力してしまう。「バッファオーバ 任意のコードの実行
任意のコマンドの実行
ーフロー」攻撃に利用されてしまう。

ファイルのパス名、内容 処理の際のパラメータとして指定されているディレク
アプリケーションの異常終了のチェックの不備
トリ名やファイル名、ファイルの内容をチェックしていサービス不能ない。任意のディレクトリのファイルを指定できてしま
資源の枯渇
い、「ディレクトリ・トラバーサル」攻撃に利用されてし任意のファイルへのアクセスまう。また、破損したファイルや不正に書き換えられ認証情報の漏洩たファイルを処理した際に不具合が生じる

15

付表 2 ウェブアプリケーション脆弱性の分類
脆弱性の種類

1

ファイルの誤った公開

深刻度

説明

届出において想定された脅威高個人情報の漏洩
一般に公開すべきでないファイルが公開されて サーバ内ファイルの漏洩
おり、自由に閲覧できる状態になっている
データの改ざん、消去
なりすまし

2

パス名パラメータの未チェック

高ユーザからの入力を処理する際のパラメータとして指定されているファイル名を、ユーザが変更
サーバ内ファイルの漏洩
し、ウェブサーバ上の任意のディレクトリのファイルを指定できてしまう

3

ディレクトリ･トラバーサル

高ウェブサーバ上のディレクトリのアクセス権を超
個人情報の漏洩
えて、本来許可されている範囲外のディレクトリ
サーバ内ファイルの漏洩にアクセスできる高セッション管理に、推測可能な情報を使用していCookie 情報の漏洩
るため、他のユーザの情報が容易に推測でき、個人情報の漏洩
他のユーザになりすまして、サービスを利用すなりすましることができる

高

入力フォームなどへ SQL コマンド（データベース 個人情報の漏洩
への命令）を入力し、データベース内の情報の サーバ内ファイルの漏洩
データの改ざん、消去
閲覧、更新、削除などができる高

DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名の持ち主である ドメイン情報の挿入
かのようにふるまえてしまう中

外部の第三者により、他のサーバへのアクセスを中継するサーバとして利用され、不正アクセス
踏み台などの際にアクセス元を隠すための踏み台にさ
れてしまう

中

Cookie 情報の漏洩
サーバ内ファイルの漏洩
ユーザの Cookie 情報を知らないうちに転送さ個人情報の漏洩せたり、偽の情報を表示させたりするような罠のデータの改ざん、消去
リンクをユーザにクリックさせ、個人情報等を盗なりすましむことができる
本物サイト上への偽情報の表示

中

ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそかにアクセスさデータの改ざん、消去
せ、登録情報の変更や商品の購入をさせることができる

中

攻撃者がユーザに対し、悪意のある要求をウェ
ブサーバに送信するように仕向けることで、ウェ ウェブキャッシュ情報のブサーバからの応答を分割させて応答内容をす すり替え
り替え、ユーザに対して偽のページを表示させることができる

中

ユーザに対し、ソフトウエアをインストールさせたり、ブラウザのセキュリティレベルを下げるよう 利用者のセキュリティレ
指示することでクライアント PC のセキュリティ設 ベルの低下
定を低下させる

4

5

6

7

8

9

セッション管理の不備

SQL インジェクション

DNS 情報の設定不備

オープンプロキシ

クロスサイト･
スクリプティング

クロスサイト・リクエスト・
フォージェリ

10 HTTP レスポンス分割

セキュリティ設定の11
不適切な変更16

脆弱性の種類12

深刻度

リダイレクタの不適切な利用

13 メールの第三者中継

14

HTTPS の不適切な利用

15 価格等の改ざん

説明

届出において想定された脅威中

ウェブサーバに設置したリダイレクタが悪意ある踏み台
リンクへの踏み台にされたり、そのウェブサイト
本物サイト上への偽情報
上で別のサイト上のページを表示させられてし
の表示
まう

低

利用者が入力した内容を管理者が指定したメー
ルアドレスに送信する機能で、外部の利用者が メールシステムの不正利
宛先メールアドレスを自由に指定できてしまい、 用
迷惑メール送信の踏み台に悪用される

低

HTTPS による暗号化をしているが、暗号の選択や設定が十分でなかったり、ウェブサイトでのユーザへの説明に間違いがある、または、ウェ なりすまし
ブサイトの設計上、ユーザから証明書が確認できない

低ショッピングサイトにおいて、価格情報等が利用者側で書き換えられる。書き換えによる被害 データの改ざん
は、ウェブサイト側に限定される

API: Application Program Interface

DNS: Domain Name System

CGI: Common Gateway Interface

HTTP: Hypertext Transfer Protocol

HTTPS : Hypertext Transfer Protocol Security
ISAKMP : Internet Security Association Key Management Protocol
MIME: Multipurpose Internet Mail Extension

RFC: Request For Comments

SQL: Structured Query Language

SSI: Server Side Include

SSL: Secure Socket Layer

TCP: Transmission Control Protocol

URI: Uniform Resource Identifier

URL: Uniform Resource Locator

17

参考 2
「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み）
ソフトウエア製品の脆弱性

IPA, JPCERT/CC

脆弱性関連情報通知 JPCERT

IPA【受付機関】
受付機関】
報告された
脆弱性関連
情報の
内容の確認

発見者

ウェブサイトの脆弱性

脆弱性関連
情報届出

/CC

製品開発者

脆弱性関連
情報届出

【調整機関】
調整機関】 対応状況の集約，
公表日の決 公表日の
調整等
定，海外の
調整機関と
の連携等

脆弱性関連情報通知

システム導入支援者

対策情報ポータル
（JVN）

対応状況
等公表

政府
企業

セキュリティ
対策推進
協議会 等

個人情報
漏洩時は
ウェブサイト 事実関係を
運営者
公表
検証，対策
実施

①製品開発者及びウェブサイト運営者による脆弱性対策を促進【期待効果】 ②不用意な脆弱性関連情報の公表や脆弱性の放置を抑制③個人情報等重要情報の流出や重要システムの停止を予防

18

ユーザ

個人