プレスリリース
2006 年 7 月 19 日
独立行政法人 情報処理推進機構
有限責任中間法人 JPCERT コーディネーションセンター

ソフトウエア等の脆弱性関連情報に関する届出状況 [2006 年第 2 四半期（4 月〜6 月）]
独立行政法人 情報処理推進機構（略称：IPA）および有限責任中間法人 JPCERT コーディネーションセンター（略称：JPCERT/CC）は、経済産業省告示に基づき、2004 年 7 月から脆弱性関連情報の取扱いを開始しています。IPA は脆弱性関連情報の届出受付、JPCERT/CC は国内の製品開発者などの関連組織との調整を行っています。今般、2006 年第 2 四半期（4 月〜6 月）の脆弱性関連情報の届出状況
を以下のとおり、とりまとめました。

要約
脆弱性関連情報の届出受付開始から 2 年が経過し、この間、合計 821 件の届出がありました。
•

今四半期のソフトウエア製品の脆弱性関連情報：84 件（届出受付開始からの累計は 257 件）

届出

脆弱性公表：22 件（届出受付開始からの累計は 89 件）••

今四半期のウェブアプリケーションの脆弱性関連情報
届出：57 件（届出受付開始からの累計は 564 件）

修正完了：31 件（届出受付開始からの累計は 297 件）

今四半期の特徴は以下の通りです。
ソフトウエア製品の届出が 84 件あり、過去最高を記録しました。特にオープンソースソフトウエア（OSS）に関する届出が 57 件あり、著しく増加しています。また、JVN1での脆弱性公表を 22 件行い、過去最高を記録しました。
90
80
70
60
50
40
30
20
10
0

届出件数（OSS以外）
届出件数（OSS）
JVN公表件数1797〜2005Q1

図

27

26

18
13

4
2005Q2

2

15

15

15

2005Q325
14

2005Q4

57

22

10 8
2006Q1

2006Q2

ソフトウエア製品の脆弱性 内訳（届出受付開始から 2006 年 6 月末まで）

この間、JVN で公表したものとして、ファイル交換ソフト「Winny」のバッファオーバーフローの脆弱性（p.6 表 2-2 項番 9）があります。IPA および JPCERT/CC はこの脆弱性を開発者に通知しましたが、修正方法が公表されませんでしたので、製品開発者の対応状況を JVN で公表しました。
また、OSS に関して開発者、開発コミュニティに通知し、公表したものが 12 件（表 2-2 項番 6、7、8、10、13、14、15、16、17、18、21、22）ありました。
このほかに、製品開発者自身から連絡を受け、対策情報を公表したものが 3 件（表 2-2 項番 12、13、14）ありました。対策を利用者へ周知徹底するために JVN を活用していただいたものと推測されます。

1

IPA および JPCERT/CC が運営する脆弱性対策情報ポータルサイトです。製品開発者の脆弱性への対応
状況を公表しています。脆弱性関連情報取扱いの枠組み「情報セキュリティ早期警戒パートナーシップ」の詳
細は付録の図を参照してください。

1

届出件数2

1

2006 年 4 月 1 日から 6 月 30 日までの IPA への脆弱性関連情報の届出件数は、141 件（ソフトウエ
ア製品に関するもの 84 件、ウェブアプリケーションに関するもの 57 件）であり、届出受付開始（2004 年
7 月 8 日）からの累計は 821 件（ソフトウエア製品に関するもの 257 件、ウェブアプリケーションに関するもの 564 件）です。四半期毎の届出状況を図 1-1 に示します。1 就業日あたりの届出件数は 1.70 件であり、前四半期より増加しています。
1 就業日あたりの届出件数（届出開始から各四半期末時点）
2005/1Q 2005/2Q 2005/3Q 2005/4Q 2006/1Q 2006/2Q
120

1.45

1.43

1.58

1.59

1.61

100

1.70

564

507

435

500

379

四 80
半
期 60
件
数 40

400 累

277

257

211

102

71
64

45

20

33

35

2005/3Q

2005/4Q

2006/1Q

97

19

13

173
72

138
56
41

66

600

84

300
200

計
件
数

57
100

0

0
〜2005/1Q

2005/2Q

ソフトウエア製品に関す る届出
ソフトウエア製品に関す る届出（累計）2006/2Q

ウェブ アプ リケー ションに関す る届出
ウェブ アプ リケー ションに関す る届出（累計）

図 1-1 脆弱性関連情報の四半期別届出件数の推移（1） ソフトウエア製品の脆弱性
ソフトウエア製品の脆弱性関連情報の届出について、処理状況を図 1-2 に示します。
図 1-2 に示すとおり、今四半期中に公表した脆弱性は、22 件（累計 89 件）です。また、「不受理」としたものは 12 件（累計 42 件）です。
取扱い終了：74件
2005年
12月末

59

（括弧内の数字は、今四半期に「公表」、「脆弱性でない」と判断されたもの等の件数）

15

41

合計138件

23

82件
2006年
3月末

67

15

61

30

合計173件106件(24件)
2006年
6月末

公表済み

89 (22)

17
(2)

取扱い中

不受理

109

42 (12)

合計257件

脆弱性ではない
050
公表済み
脆弱性ではない

100
150
200
： JVN で脆弱性への対応状況を公表したもの： 製品開発者により脆弱性ではないと判断されたもの

取扱い中
不受理

： 製品開発者が調査、対応中のもの： 告示で定める届出の対象に該当しないもの

250

300

図 1-2 ソフトウエア製品 各時点における脆弱性関連情報の届出の処理状況

2

ソフトウエア製品については、前四半期までは、国内の発見者から IPA に届出があったもののみを計上していましたが、今四半期からは、製品開発者自身から自社製品の脆弱性・対策方法について連絡を受けたものを加え、今四半期以前に遡って計上しています。

2

（2） ウェブアプリケーションの脆弱性
ウェブアプリケーションの脆弱性関連情報の届出について、処理状況を図 1-3 に示します。
図 1-3 に示すとおり、ウェブアプリケーションの脆弱性については、今四半期中に処理を終了したもの
は 41 件（累計 388 件）でした。このうち、「修正完了」したものは 31 件（累計 297 件）、ウェブサイト運営
者により「脆弱性はない」と判断されたものは 4 件（累計 53 件）、脆弱性を「運用で回避」すると対応されたものが 4 件（累計 14 件）、修正ではなく「当該ページを削除」することで対応されたものが 2 件（累計24 件）ありました。「修正完了」したものうちの 7 件（累計 76 件）はウェブサイト運営者からの依頼を受け、当該脆弱性が適切に修正されたかどうかを IPA が確認しました。
このほか、「不受理」としたものが 3 件（累計 38 件）ありました。「連絡不可能」の届出のうち、15 件は修正されています。その中には、ウェブサイト運営者からの回答がないためレンタルサーバ会社と連絡を取り修正が確認できたサイト、脆弱箇所の記述が削除されていることが確認できたサイトがあります。
また、12 件は、当該ページ自体が削除されており、脆弱性がなくなっていることを確認しています。メー
ルや電話でウェブサイト運営者と連絡が取れない場合は、郵送手段などでの連絡を試みています。
（括弧内の数字は、今四半期に「修正完了」、「脆弱性ではない」と判断されたもの等の件数）

292件
2005年
12月末

234

37

8 13

86

31

49

10 22

87

26

合計435件

347件
2006年
3月末

266

修正完了

53
(4)

297 (31)

内確認済 76

脆弱性ではない
0

100

運用で回避

200

300

14 24
(4) (2)

合計507件35

修正確認
済み 1 5

取扱い終了：388件(41件)
2006年
6月末

38

取扱い中
99

削除 未修正/1 2 不明 12

39
(1)

合計
564件

当該ページを削除 連絡不可能 不受理
400

修正完了
脆弱性ではない
運用で回避
当該ページを削除
確認済： ウェブサイト運営者により脆弱性が修正されたもの： ウェブサイト運営者により脆弱性はないと判断されたもの： 修正はせず、運用により被害を回避しているもの： 修正ではなく当該ページを削除することで対応されたもの： 修正完了のうち、IPA が修正を確認したもの

取扱い中
連絡不可能
不受理

： ウェブサイト運営者が調査、対応中のもの： ウェブサイト運営者からの回答がなく、取扱いができないもの： 告示で定める届出の対象に該当しないもの

500

図 1-3 ウェブアプリケーション 各時点における脆弱性関連情報の届出の処理状況

3

38
(3)

600

2

ソフトウエア製品の脆弱性関連情報の取扱いおよび調整 2

2.1

ソフトウエア製品の脆弱性情報

図 2-1 に、届出受付開始から今四半期までに IPA に届出られたソフトウエア製品の内訳を示します。
2005Q3 からオープンソースソフトウエアに関する届出が増加しましたが今期は特に多く 57 件ありまし
た。
100
80
27
60
40
20
9

0

17

4

2005Q1

2

2005Q2

18

26

15

15

10

2005Q3

2005Q4

2006Q1

オープンソース

図 2-1

25

57

2006Q2

それ以外

ソフトウエア製品の脆弱性 内訳（届出受付開始から 2006 年 6 月末まで）

届出受付開始から今四半期までに IPA に届出られたソフトウエア製品に関する脆弱性関連情報 257
件のうち、不受理のものを除いた 215 件の製品種類別の内訳を図 2-2 に、原因別の内訳を図 2-3 に、
脅威別の内訳を図 2-4 に示します。
1%

1%

1%

5%

1%
1%
1%
2%
43%(18%)

2%
3%
4%
5%
6%
6%(10%)
8%(15%)

13%(21%)※その他には、情報家電、周辺機器、ファイル交換ソフト等
があります

図 2-2

（215 件の内訳）

ウェブアプリケーションソフト
ウェブブラウザ
グループウェア
メールソフトアプリケーション開発・実行環境
アンチウイルスソフト
システム管理ソフトOS
検索システムウェブサーバ
プロキシ
ルータ
IP 電話
SSL-VPNソフト
携帯機器
ネーム・ディレクトリサーバ
その他（グラフの括弧内は前四半期の数字）

ソフトウエア製品の脆弱性 製品種類別内訳（届出受付開始から 2006 年 6 月末まで）3

図 2-2 に示すように、IPA に届出があった脆弱性には、「ウェブアプリケーションソフト」に関するものが多くあります。また、パソコンなどのコンピュータ上で動くソフトウエアだけでなく、携帯機器や情報家電、パソコンの周辺機器などに関するものが含まれています。

3

前四半期まで使用していた「ウェブアプリ構築関係」の分類を見直し、「ウェブアプリケーションソフト」および「アプリケーション開発・実行環境」へ変更しました。前四半期まで使用していた「ミドルウェア」は「アプリケー
ション開発・実行環境」へ統合しました。

4

13%

ウェブアプリケーションの脆弱性
ファイルのパス名、内容のチェックの不備

7%

セキュリティコンテキストの適用の不備

2%

アクセス制御の不備

3%バッファのチェックの不備

3%(4%)
56%(40%)4%(4%)

証明書の検証に関する不備
仕様上の不備5%(7%)

その他 ウェブに関連する不備

7%(10%)

その他 実装上の不備（215 件の内訳）

図 2-3

ソフトウエア製品の脆弱性 原因別内訳（届出受付開始から 2006 年 6 月末まで）4
3%

2%

1%

4%

3%
3%
4%

39%(24%)4%5%
6%(8%)
7%(10%)
8%(9%)

図 2-4

11%(12%)（215 件の内訳）

任意のスクリプトの実行
情報の漏洩
なりすまし
サービス不能認証情報の漏洩
任意のコマンドの実行
任意のファイルへのアクセス
通信の不正中継アプリケーションの異常終了
セッション・ハイジャック
任意のコードの実行
資源の枯渇
URL等の表示の偽装
その他

ソフトウエア製品の脆弱性 脅威別内訳（届出受付開始から 2006 年 6 月末まで）

図 2-3 に示すように、脆弱性の原因は「ウェブアプリケーションの脆弱性」が最多であり、図 2-4 に示す
ように、脅威についても「任意のスクリプト実行」が最多となっています。これは、「ウェブアプリケーション
ソフト」以外のソフトウエア製品であっても、ウェブブラウザから管理、使用するものが多くあり、そこに脆弱性が存在するためです。

2.2

ソフトウエア製品の脆弱性情報の調整および公表状況

JPCERT/CC は、表 2-1 に示す 2 種類の脆弱性関連情報について、日本国内の製品開発者等の関係者、および海外 CSIRT5の協力のもと、海外の製品開発者との調整を行っています。これらの脆弱性
関連情報に対する製品開発者の対応状況は、IPA と JPCERT/CC が共同運営している脆弱性対策情報
ポータルサイト JP Vendor status Notes（JVN）において公表しています（URL： http://jvn.jp/）。

4

それぞれの脆弱性の詳しい説明については付録を参照してください。
CSIRT（Computer Security Incident Response Team）は、コンピュータセキュリティに関するインシデント（事故）への対応や調整、サポートをするチームのことです。
55

表 2-1 脆弱性関連情報の提供元別 脆弱性公表件数

①

情報提供元

今期

累計

国内の発見者から IPA に届出があったもの、および、製品開発者自身から自社製品の脆弱性、対策方法について連絡を受けたもの

22

89

3

102

25

191

② 海外 CSIRT から連絡を受けたもの
計（1） 国内の発見者および製品開発者から届出があり公表した脆弱性

届出受付開始から 2006 年 6 月末までの届出について、脆弱性関連情報の届出（表 2-1 の①）を受理してから製品開発者が対応状況を公表するまでに要した日数を図 2-5 に示します。全体の 48％の届出が 45 日以内に公表されています。
45 日以内の公表件数の割合
2006/1Q まで
2006/2Q まで
48%
48%

9

0%

17

10%

9

20%

30%

〜 10日
46日 〜 100日

8

40%

21

50%

11日 〜 20日
101日 〜 200日

図 2-5

60%

70%

21日 〜 30日
201日 〜 300日

15

5

80%

90%

5

100%

31日 〜 45日
301日 〜

ソフトウエア製品の脆弱性 公表日数

表 2-2 に、国内の発見者、製品開発者から届出を受け、今四半期に公表した脆弱性を示します。
今四半期は、ファイル交換ソフト「Winny」におけるバッファオーバーフローの脆弱性（表 2-2 項番 9）を公表しました。IPA および JPCERT/CC はこの脆弱性を開発者に通知しましたが、修正方法が公表されなかったため、注意喚起として、製品開発者の対応状況を JVN で公表しました。
複数の製品開発者のソフトウエア製品に影響がある脆弱性は、2 件（項番 1、2）であり、特定の製品に関する脆弱性は 20 件でした。なお、12 件（項番 6、7、8、10、13、14、15、16、17、18、21、22）はオープ
ンソースソフトウエアに関して開発者、開発コミュニティに通知し、公表したものです。また、3 件（項番12,13,14）は製品開発者自身から脆弱性およびその対策情報の連絡を受け、公表したものです。
表 2-2 2006 年第 2 四半期に JVN で公表した脆弱性
項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN 公表日

複 数 開 発 者 ・製 品 に影 響 が
ある脆弱性

1

複数のメールクライアン 複数のメールクライアントソフトにおいて、添付ファイ 2006 年
ル名が Unicode で書かれている場合に文字列を適 5 月 9 日
トソフトにおける、Unicode の 取 り 扱 い 不 切に取り扱わない問題があります。このため、一見備によるディレクトリ・トラ 問題無く見える添付ファイルを開いた場合、予期せぬ場所にファイルが保存されてしまう可能性がありバーサルの脆弱性ます。

2「Sun Java System Web Server」には、Referer ヘ「Sun Java System
ッダを適切に取り扱わない問題があります。このた 2006 年
Web Server」におけるクロスサイト・スクリプティ め、第三者によりエラーページにスクリプトを埋め込 5 月 17 日
まれる可能性があります。
ングの脆弱性

6項番

脆弱性「CAFEMILK ショッピン

3

グカート CGI」におけるクロスサイト・スクリプティングの脆弱性「QUICK CART」におけ4るクロスサイト・スクリプ
ティングの脆弱性「QUICK CART」におけ5

る OS コマンドインジェ
クションの脆弱性

未対策状態でのセキュリティ上の問題点

JVN 公表日「CAFEMILK ショッピングカート CGI」は、利用者からの入力情報を確認画面に表示する際のエスケープ処理に漏れがあります。このため、第三者によりウェブページにスクリプトを埋め込まれる可能性が2006 年4 月 10 日あります。
ショッピングカート「QUICK CART」は、利用者からの入力情報を確認画面に表示する際の処理に漏れ 2006 年があります。このため、第三者によりウェブページに 4 月 13 日
スクリプトを埋め込まれる可能性があります。
ショッピングカート「QUICK CART」は、メールを送信する際の処理に問題があります。このため、遠隔の 2006 年
第三者によりサーバ上で任意の OS コマンドを実行 4 月 13 日される可能性があります。
ウェブブラウザ上からウェブコンテンツの発行や編

特定製品の脆弱性「 FreeStyleWiki 」 に お け 集を行える「FreeStyleWiki」には、ウェブコンテンツ
2006 年
6るクロスサイト・スクリプ 編集時の内容のエスケープ処理に漏れがありま(*1)
4 月 17 日
ティングの脆弱性す。このため、第三者によりウェブページにスクリプ
トを埋め込まれる可能性があります。
プロジェクト管理ツール「Trac」には、利用者が編集「Trac」におけるクロスサ したウェブコンテンツを出力する際のエスケープ処2006 年
7
イト・スクリプティングの 理に漏れがあります。このため、第三者によりウェブ(*1)
4 月 19 日
脆弱性ページにスクリプトを埋め込まれる可能性があります。
「SquirrelMail」におけるウェブメールクライアント「SquirrelMail」には、HTML

メールをウェブページに出力する際のエスケープ処 2006 年
8クロスサイト・スクリプティ(*1)
理に漏れがあります。このため、HTML メールにスク 4 月 21 日
ングの脆弱性
リプトを埋め込まれる可能性があります。
「Winny」における
9

ファイル交換ソフト「Winny」は、通信処理にバッファ

バッファオーバーフロー オーバーフローの脆弱性があります。
の脆弱性

2006 年4 月 21 日

ウェブアプリケーション開発支援フレームワーク「Apache Struts」に「Apache Struts」の Validator 機能には、細工された

10 おいて Validator による リクエストにより入力値検査を回避されてしまう問題 2006 年(*1) 入力値検査が回避され があります。このため、Validator を実装しているウェ 4 月 26 日
る脆弱性

ブアプリケーションが、想定外の入力値を受け取ってしまう可能性があります。

7

項番

11

脆弱性

未対策状態でのセキュリティ上の問題点

JVN 公表日「DonutP」およびタブ型ウェブブラウザ「DonutP」およびその後継で「UnDonut」におけるある「UnDonut」には、通常のスクリプトよりも機能を 2006 年

確認ダイアログ表示に関 拡張した操作を行う API 関数を呼び出す際に、確認 4 月 27 日
する脆弱性
「MyWeb」におけるダイアログを表示しない問題があります。
グループウェア「MyWeb」の一部の機能に SQL イ

ンジェクションの脆弱性が存在します。このため、遠 2006 年
12
SQL インジェクションの(*2)
隔の第三者により、データベース内容の改ざんやデ 5 月 22 日
脆弱性ータの盗難などが行なわれる可能性があります。
ウェブブラウザ上からウェブコンテンツの発行や編「RWiki」におけるクロス 集を行える「RWiki」は、コンテンツを表示する際の13
2006 年(*1) サイト・スクリプティング エスケープ処理に漏れがあります。このため、第三5 月 24 日(*2)の脆弱性者によりウェブページにスクリプトを埋め込まれる可能性があります。

特定製品の脆弱性︵
続き︶「RWiki」において任意の ウェブブラウザ上からウェブコンテンツの発行や編
142006 年(*1) Ruby スクリプトを実行さ 集を行える「RWiki」には、編集画面において任意の
5 月 24 日(*2)
れる脆弱性
Ruby スクリプトが実行可能な脆弱性が存在します。
ウェブブラウザ「Mozilla Firefox」は、サーバからの「Mozilla Firefox」におい HTTP 1.0 応答（レスポンス）を適切に取扱わないた
15 て HTTP 1.0 解釈に関 め、レスポンス分割攻撃を受ける問題があります。 2006 年(*1) してレスポンス分割が可 このため、利用者が複数のウェブサイトを同時に閲 6 月 2 日
能な脆弱性

覧していると、サイトの表示内容を改ざんされる可能性があります。
ウェブブラウザ「Mozilla Firefox」は、サーバからの「Mozilla Firefox」におい HTTP 応答（レスポンス）に含まれるへッダの処理が16 て HTTP ヘッダ名解釈 適切でないため、レスポンス分割攻撃を受ける問題 2006 年(*1) に関してレスポンス分割 があります。このため、利用者が複数のウェブサイト 6 月 2 日が可能な脆弱性を同時に閲覧していると、サイトの表示内容を改ざんされる可能性があります。

「dotProject」におけるク

プロジェクト管理ツール「dotProject」は、ウェブペー

ジを出力する際のエスケープ処理に漏れがありま 2006 年
17
ロスサイト・スクリプティ(*1)
す。このため、第三者によりウェブページにスクリプ 6 月 5 日
ングの脆弱性トを埋め込まれる可能性があります。
CGI RESCUE 製

フォームメール「WebFORM」には、メールのヘッダ

18 「WebFORM」においてメ 部分へ挿入される入力値の検査が適切に行なわれ 2006 年(*1) ールの不正送信が可能 ません。このため、任意の宛先へのメールの送信に 6 月 9 日
な脆弱性

利用される可能性があります。

8

項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN 公表日「Internet Explorer」にお ウェブブラウザ「Internet Explorer」には、実際にア
19 けるアドレスバー偽装の クセスしているものとは異なる URL をアドレスバー
脆弱性に表示してしまう問題があります。

特定製品の脆弱性︵
続き︶「Webmin」におけるディ
20 レクトリ・トラバーサルの脆弱性

2006 年6 月 14 日

Unix のシステム管理をウェブブラウザから行うためのインターフェース「Webmin」には、ディレクトリ・トラ 2006 年
バーサルによって認証を回避されてしまう問題があ 6 月 23 日
ります。

「dotProject」におけるク

プロジェクト管理ツール「dotProject」は、ウェブペー

ジを出力する際のエスケープ処理に漏れがありま 2006 年
21
ロスサイト・スクリプティ(*1)
す。このため、第三者によりウェブページにスクリプ 6 月 26 日
ングの脆弱性トを埋め込まれる可能性があります。
「Phorum」におけるクロ

掲示板ソフトウエア「Phorum」は、ウェブページを出力する際のエスケープ処理に漏れがあります。この 2006 年
22
スサイト・スクリプティン(*1)
ため、第三者によりウェブページにスクリプトを埋め 6 月 26 日
グの脆弱性
込まれる可能性があります。
(*1) オープンソースソフトウエアの脆弱性(*2) 製品開発者自身から自社製品の脆弱性、対策方法について連絡を受けたもの（2）海外 CSIRT から連絡を受け公表した脆弱性
表 2-3、表 2-4 に、海外 CSIRT から連絡を受けた脆弱性を示します。海外 CSIRT から連絡を受けた
脆弱性情報は、登録された国内の製品開発者のうち関連する製品開発者へ通知したうえ、日本語訳を
JVN に 掲 載 し て い ま す 。 今 四 半 期 は 、 米 国 CERT/CC （ Computer Emergency Response
Team/Coordination Center）から 2 件、英国 NISCC（National Infrastructure Security Co-ordination
Centre）から 1 件の合計 3 件の脆弱性関連情報の連絡を受けました。このほか、10 件の US-CERT
Technical Cyber Security Alert を JVN で公表しました。
表 2-3 CERT/CC から連絡を受けた脆弱性関連情報および対応状況
項番

脆弱性

対応状況

1

RealVNC Server に認証回避が可能な脆弱性

注意喚起として掲載6

2

Sendmail における マルチパート MIME メッセージ処理に関する脆弱性

複数製品開発者へ通知

表 2-4 NISCC から連絡を受けた脆弱性関連情報および対応状況
項番
1

脆弱性

対応状況

DNS プロトコルの実装における脆弱性

複数製品開発者へ通知

6

国内の製品開発者へ通知・調整はしていませんが、国内で広く利用されているため、注意喚起として JVN に掲載しました。

9

3

ウェブアプリケーションの脆弱性関連情報の取扱い

3.1

ウェブアプリケーションの脆弱性情報

届出受付開始から今四半期末までに IPA に届出られたウェブアプリケーションの脆弱性関連情報 564
件のうち、不受理のものを除いた 526 件の種類別内訳を図 3-1 に、脅威別内訳を図 3-2 に示します。

1%
1%

1%

1%

7%

1%
2%
2%
2%
3%

40%(39%)

3%
4%
(5%)
5%(6%)
6%(6%)

21%(21%)

図 3-1

クロスサイト・スクリプティング
SQLインジェクション
ファイルの誤った公開
DNS情報の設定不備
パス名パラメータの未チェック
HTTPレスポンス分割
価格等の改ざんセッション管理の不備
ディレクトリ・トラバーサル
メールの第三者中継
オープンプロキシ
クロスサイト・リクエスト・フォージェリ
セキュリティ設定の不適切な変更
HTTPSの不適切な利用
リダイレクタの不適切な利用
その他（526 件の内訳）（グラフの括弧内は前四半期の数字）

ウェブアプリケーションの脆弱性種類別内訳（届出受付開始から 2006 年 6 月末まで）4

図 3-1 に示すように、脆弱性の種類は、依然として「クロスサイト・スクリプティング」、「SQL インジェク
ション」が多くあります。
「SQL インジェクション」の届出の多くは、データベースのエラーメッセージが表示されたページを発見したというものです。これまでに取扱いを終了した 77 件のうち、47 件は「SQL インジェクション」の問題が実際にあり修正したとの報告を受け、残りの 30 件はエラーメッセージが表示されていただけで実際にはSQL コマンドを挿入することはできず、「SQL インジェクション」の問題はなかったとの報告を受けました。
0.4%
2%

0.4%

2%
2%
3%

3%
25%(24%)3%
5%
8%(8%)

9%(9%)
22%(22%)

データの改ざん、消去
Cookie情報の漏洩
本物サイト上への偽情報の表示
個人情報の漏洩
サーバ内ファイルの漏洩
ドメイン情報の挿入
ウェブキャッシュ情報のすり替え
なりすまし
利用者のセキュリティレベルの低下
メールシステムの不正利用
踏み台
サーバ実装情報の漏洩
任意のコマンドの実行
その他

16%(15%)（526 件の内訳） （グラフの括弧内は前四半期の数字）

図 3-2

ウェブアプリケーションの脆弱性脅威別内訳（届出受付開始から 2006 年 6 月末まで）

図 3-3 に示すように、発見者が届出時に想定した脅威別では、「SQL インジェクション」により起こりうる「データの改ざん、消去」が最多であり、次いで「クロスサイト・スクリプティング」により起こりうる「Cookie 情報の漏洩」「本物サイト上への偽情報の表示」があります。

10

3.2

ウェブアプリケーションの脆弱性の修正状況

届出受付開始から 2006 年 6 月末までの届出について、ウェブサイト運営者に脆弱性の詳細情報を通知してから修正されるまでに要した日数およびその傾向を、脆弱性の種類別に図 3-3 および図 3-4 に示します。全体の 80％の届出が、90 日以内に修正されています。
50

90 日以内の修正件数の割合
2006/1Q まで
2006/2Q まで
81%80%

その他 (23件)
パス名パラメー タの未チェック (5件)
セキ ュリティ設定の不適切な変更 (5件)
デ ィレクトリ・トラバー サル (6件)セッション管理の不備 (8件)
ファイルの誤った公開 (8件)
HTTPレスポンス分割 (14件)
DNS情報の設定不備 (28件)
SQLインジェクション (47件)
クロスサイト・スクリプティング （154件）

45
40
35
30
25
20
15
10
5
0
当日

1日

2日

3日

図 3-3

4日
〜 5日

6日
〜 10日

11日
〜 20日

21日
〜 30日

31日
〜 50日

51日
91日
201日 301日 〜〜 90日 〜 200日 〜 300日

ウェブアプリケーションの脆弱性修正に要した日数

クロスサイト・スクリプティング （154件）
SQLインジェクション (47件)
DNS情報の設定不備 (28件)
HTTPレスポンス分割 (14件)
セッション管理の不備 (8件)
ファイルの誤った公開 (8件)
デ ィレクトリ・トラバー サル (6件)
パス名パラメー タの未チェック (5件)
セキ ュリティ設定の不適切な変更 (5件)
その他 (23件)
全体 (297件)
0%

20%

40%

〜 10日

11日 〜 20日

21日 〜 30日

91日 〜 200日

201日 〜 300日

301日 〜

図 3-4

60%
31日 〜 50日

ウェブアプリケーションの脆弱性修正に要した日数の傾向

1180%
51日 〜 90日

100%

4

皆様へのお願い
脆弱性の修正を促進していくため、以下のとおり、ご注意ください。

•

ウェブサイト運営者の皆様へ
多くのウェブアプリケーションのソフトウエアに脆弱性が発見されています。自身のウェブサイトでどのようなソフトウエアを利用しているかを把握し、セキュリティ対策を実施してください。

z

製品開発者の皆様へ
JPCERT/CC は、ソフトウエア製品の脆弱性関連情報について、整備している「製品開発者リスト」に基づき、一般公表日の調整等を行います。迅速な調整を進められるよう、「製品開発者リスト」
への登録にご協力ください（URL：http://www.jpcert.or.jp/vh/）。また、製品開発者ご自身で脆弱性を発見、修正された場合も、利用者への対策情報の周知のために JVN を活用できます。
IPA もしくは JPCERT/CC にご連絡下さい。

•

一般インターネットユーザの皆様へ
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がけてください。脆弱性があるソフトウ
エアを使い続けることは避けましょう。

■ お問い合わせ先
独立行政法人 情報処理推進機構 セキュリティセンター
Tel: 03-5978-7527

Fax: 03-5978-7518

E-mail: vuln-inq@ipa.go.jp
有限責任中間法人 JPCERTコーディネーションセンター
Tel: 03-3518-4600

Fax: 03-3518-4602

E-mail: office@jpcert.or.jp

12

プレスリリース付録

付表 1 ソフトウエア製品 脆弱性の原因分類
脆弱性の原因アクセス制御の不備
1

2

説明

届出において想定された脅威

アクセス制御を行うべき個所において、アクセス制 設定情報の漏洩
御が欠如している
通信の不正中継
なりすまし
任意のスクリプトの実行
認証情報の漏洩

ウェブアプリケーション ウェブアプリケーションに対し、入力された情報のチ アクセス制限の回避
ェックや内容の解釈、認証情報の取扱いに問題が 価格等の改ざんの脆弱性ある。「クロスサイト・スクリプティング」攻撃や「SQL サービス不能
資源の枯渇
インジェクション」攻撃などに利用されてしまう
重要情報の漏洩
情報の漏洩
セッション・ハイジャック
通信の不正中継
なりすまし
任意のコマンドの実行
任意のスクリプトの実行
任意のファイルへのアクセス
認証情報の漏洩仕様上の不備3

RFC 等の公開された規格に準拠して、設計、実装しサービス不能た結果、問題が生じるもの。プロトコル上の不備が資源の枯渇ある場合、ここに含まれる

4

証明書の検証に関する ウェブブラウザやメールクライアントソフトに証明書を検証する機能が実装されていない、または、検証 証明書の確認不能
不備
が正しく行われずに、偽の証明書を受けいれてしま なりすましう

5

セキュリティコンテキスト 本来、厳しい制限のあるセキュリティコンテキストで アプリケーションの異常終了
取り扱うべき処理を、緩い制限のセキュリティコンテ 情報の漏洩の適用の不備任意のコードの実行
キストで処理してしまう
任意のスクリプトの実行
バッファのチェックの

6

7

不備

想定外の長さの入力が行われた場合に、長さをチェ サービス不能
ックせずバッファに入力してしまう。「バッファオーバ 任意のコードの実行
任意のコマンドの実行
ーフロー」攻撃に利用されてしまう。

ファイルのパス名、内容 処理の際のパラメータとして指定されているディレク アプリケーションの異常終了
トリ名やファイル名、ファイルの内容をチェックしていのチェックの不備
サービス不能ない。任意のディレクトリのファイルを指定できてしま
資源の枯渇
い、「ディレクトリ・トラバーサル」攻撃に利用されてし任意のファイルへのアクセスまう。また、破損したファイルや不正に書き換えられ認証情報の漏洩たファイルを処理した際に不具合が生じる

13プレスリリース付録

付表 2 ウェブアプリケーション脆弱性の分類
脆弱性の種類

1

ファイルの誤った公開

深刻度

説明

届出において想定された脅威高個人情報の漏洩
一般に公開すべきでないファイルが公開されて サーバ内ファイルの漏洩
おり、自由に閲覧できる状態になっている
データの改ざん、消去
なりすまし

2

パス名パラメータの未チェック

高ユーザからの入力を処理する際のパラメータとして指定されているファイル名を、ユーザが変更
サーバ内ファイルの漏洩
し、ウェブサーバ上の任意のディレクトリのファイルを指定できてしまう

3

ディレクトリ･トラバーサル

高ウェブサーバ上のディレクトリのアクセス権を超
個人情報の漏洩
えて、本来許可されている範囲外のディレクトリ
サーバ内ファイルの漏洩にアクセスできる高セッション管理に、推測可能な情報を使用していCookie 情報の漏洩
るため、他のユーザの情報が容易に推測でき、個人情報の漏洩
他のユーザになりすまして、サービスを利用すなりすましることができる

高

入力フォームなどへ SQL コマンド（データベース 個人情報の漏洩
への命令）を入力し、データベース内の情報の サーバ内ファイルの漏洩
データの改ざん、消去
閲覧、更新、削除などができる高

DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名の持ち主である ドメイン情報の挿入
かのようにふるまえてしまう中

外部の第三者により、他のサーバへのアクセスを中継するサーバとして利用され、不正アクセス
踏み台などの際にアクセス元を隠すための踏み台にさ
れてしまう

中

Cookie 情報の漏洩
サーバ内ファイルの漏洩
ユーザの Cookie 情報を知らないうちに転送さ個人情報の漏洩せたり、偽の情報を表示させたりするような罠のデータの改ざん、消去
リンクをユーザにクリックさせ、個人情報等を盗なりすましむことができる
本物サイト上への偽情報の表示

中

ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそかにアクセスさデータの改ざん、消去
せ、登録情報の変更や商品の購入をさせることができる

中

攻撃者がユーザに対し、悪意のある要求をウェ
ブサーバに送信するように仕向けることで、ウェ ウェブキャッシュ情報のブサーバからの応答を分割させて応答内容をす すり替え
り替え、ユーザに対して偽のページを表示させることができる

中

ユーザに対し、ソフトウエアをインストールさせたり、ブラウザのセキュリティレベルを下げるよう 利用者のセキュリティレ
指示することでクライアント PC のセキュリティ設 ベルの低下
定を低下させる

4

5

6

7

セッション管理の不備

SQL インジェクション

DNS 情報の設定不備

オープンプロキシ

8

クロスサイト･
スクリプティング

9

クロスサイト・リクエスト・
フォージェリ

10 HTTP レスポンス分割

セキュリティ設定の11
不適切な変更14

プレスリリース付録
脆弱性の種類

深刻度

説明

届出において想定された脅威

リダイレクタの不適切な
12
利用

中

ウェブサーバに設置したリダイレクタが、悪意あ踏み台るリンクへの踏み台にされたり、そのウェブサイ
本物サイト上への偽情報
ト上で、別のサイト上のページを表示させられての表示しまう

13 メールの第三者中継

低他人のメールサーバを用いることで、自分の身 メールシステムの不正利
元を隠してメールを送信することができる
用

HTTPS の不適切な利用

低HTTPS による暗号化をしているが、ユーザへの説明に間違いがある、または、ウェブサイトの なりすまし
設計上、ユーザから証明書が確認できない

低ショッピングサイトにおいて、価格情報等が利用者側で書き換えられる。書き換えによる被害 データの改ざん
は、ウェブサイト側に限定される

14

15 価格等の改ざん

API: Application Program Interface

DNS: Domain Name System

CGI: Common Gateway Interface

HTTP: Hypertext Transfer Protocol

HTTPS : Hypertext Transfer Protocol Security
ISAKMP : Internet Security Association Key Management Protocol
MIME: Multipurpose Internet Mail Extension

RFC: Request For Comments

SQL: Structured Query Language

SSI: Server Side Include

SSL: Secure Socket Layer

TCP: Transmission Control Protocol

URI: Uniform Resource Identifier

URL: Uniform Resource Locator15

プレスリリース付録「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み）
ソフトウエア製品の脆弱性

IPA, JPCERT/CC

脆弱性関連情報通知 JPCERT

IPA【受付機関】
受付機関】
報告された
脆弱性関連
情報の
内容の確認

発見者

ウェブサイトの脆弱性

脆弱性関連
情報届出

/CC

製品開発者

脆弱性関連
情報届出

【調整機関】
調整機関】 対応状況の集約，
公表日の決 公表日の
調整等
定，海外の
調整機関と
の連携等

脆弱性関連情報通知

システム導入支援者

対策情報ポータル
（JVN）

対応状況
等公表

政府
企業

セキュリティ
対策推進
協議会 等

個人情報
漏洩時は
ウェブサイト 事実関係を
運営者
公表
検証，対策
実施

①製品開発者及びウェブサイト運営者による脆弱性対策を促進【期待効果】 ②不用意な脆弱性関連情報の公表や脆弱性の放置を抑制③個人情報等重要情報の流出や重要システムの停止を予防

16

ユーザ

個人