プレスリリース
2006 年 1 月 16 日
独立行政法人 情報処理推進機構
有限責任中間法人 JPCERT コーディネーションセンター

ソフトウエア等の脆弱性関連情報に関する届出状況 [2005 年第 4 四半期（10 月〜12 月）]
独立行政法人 情報処理推進機構（略称：IPA）および有限責任中間法人 JPCERT コーディネーションセンター（略称：JPCERT/CC）は、経済産業省告示「ソフトウエア等脆弱性関連情報取扱基準」（平成 16
年経済産業省告示 第 235 号）に基づき、2004 年 7 月から脆弱性関連情報の取扱いを開始しています。
IPA は脆弱性関連情報の届出受付、JPCERT/CC は国内の製品開発者などの関連組織との調整を行っています。今般、2005 年第 4 四半期（10 月〜12 月）の脆弱性関連情報の届出状況を以下のとおり、とりまとめました。

要約•

ソフトウエア製品の脆弱性関連情報
届出：39 件（届出受付開始からの累計は 133 件）

脆弱性公表：13 件（届出受付開始からの累計は 54 件）
なお、以上の他、製品開発者自身から脆弱性および対策情報の連絡を受けたものが 1 件ありました。
•

ウェブアプリケーションの脆弱性関連情報
届出：56 件（届出受付開始からの累計は 435 件）

修正完了：57 件（届出受付開始からの累計は 234 件）

今四半期の特徴は以下の通りです。
ソフトウエア製品の脆弱性情報の届出において、オープンソースソフトウエアに関する届出が前期に引き続き 15 件あり、それ以前の件数を大きく上回っています(p.4 図 2-1 参照)。
30
25
20
15
10
5
0

図

24
18

16

12
1

1

2004Q3

2004Q4

4

15 17

15

8
2

2005Q1
2005Q2
2005Q3
オープンソース それ以外

2005Q4

ソフトウエア製品の脆弱性 内訳（届出受付開始から 2005 年 12 月末まで）

この間、JVN1で公表したものとして、組込み機器に関する届出である、≪携帯電話の Web ブラウ
ザにおける Referer ヘッダの扱いに関する問題≫などがありました（p.8 表 2-2 項番 14 参照）。この他、前四半期に公表した≪「Tomcat」におけるリクエスト処理に関する脆弱性≫について、開発元である The Apache Software Foundation （ASF）から修正プログラムが提供されていない（2006 年 1
月 16 日現在）ため、IPA で本脆弱性を解消する修正プログラムを作成し公表しました（p.5 2.2 参照）。
1

IPA および JPCERT/CC が対応状況ポータルサイト「JVN」を運営し、製品開発者の脆弱性への対応状況を公表しています。脆弱性関連情報取扱いの枠組み「情報セキュリティ早期警戒パートナーシップ」の詳細は付録の図を参照してください。

1

1

届出件数2
2005 年 10 月 1 日から 12 月 31 日までの IPA への脆弱性関連情報の届出件数は、95 件（ソフトウエ

ア製品に関するもの 39 件、ウェブアプリケーションに関するもの 56 件）であり、届出受付開始（2004 年
7 月 8 日）からの累計は 568 件（ソフトウエア製品に関するもの 133 件、ウェブアプリケーションに関するもの 435 件）です。四半期毎の届出状況を図 1-1 に示します。就業日 1 日当たりの届出件数は 1.58 件であり、前四半期より増加しています。
就業日 1 日あたりの届出件数
120

2005/1Q 2005/2Q 2005/3Q 2005/4Q

100

1.44

1.42

四 80
半
期 60
件
数 40

211

20

44

1.57

500
450
400
350
累
300
計
250
件
200
数
150
100
50
0

435
379

1.58
277

102
71

62 66

12

0

133

94
39

32

18

2005/1Q
2005/2Q
ソフトウエア製品に関する届出
ソフトウエア製品に関する届出（累計）562005/3Q
2005/4Q
ウェブアプリケーションに関する届出
ウェブアプリケーションに関する届出（累計）

図 1-1 脆弱性関連情報の四半期別届出件数の推移（1） ソフトウエア製品の脆弱性
ソフトウエア製品の脆弱性関連情報の届出について、処理状況を図 1-2 に示します。
図 1-2 に示すとおり、今四半期中に公表した脆弱性は、13 件（累計 54 件）です。また、製品開発者により「脆弱性ではない」と判断されたものは 3 件（累計 15 件）、「不受理」としたものは 6 件（累計 23 件）ありました。「不受理」の届出についても、必要に応じて製品開発者に伝えています。
40件
2005年
6月末

29

11

16

合計62件

6

（括弧内の数字は、今四半期に「公表」、「脆弱性でない」と判断されたもの等の件数）

53件
2005年
9月末

41

12

24

合計94件

17

取扱い終了：69件(16件)

公表済み

2005年
12月末

54 (13)15 (3)

取扱い中41

脆弱性ではない
020
公表済み
脆弱性ではない

40
60
80
100
： JVN で脆弱性への対応状況を公表したもの： 製品開発者により脆弱性ではないと判断されたもの

取扱い中
不受理

： 製品開発者が調査、対応中のもの： 告示で定める届出の対象に該当しないもの

23 (6)

合計
133件

不受理
120

140

図 1-2 ソフトウエア製品 各時点における脆弱性関連情報の届出の処理状況
2

届出件数は、実際にウェブフォームやメールで届出を受けた件数と同じではありません。1 つの届出に複数の脆弱性関連情報が含まれる場合は、その脆弱性の数だけ分割して計上しています。

2

このほかに、製品開発者自身から脆弱性およびその対策情報の連絡を受け、公表したものが 1 件ありました。
（2） ウェブアプリケーションの脆弱性
ウェブアプリケーションの脆弱性関連情報の届出について、処理状況を図 1-3 に示します。
図 1-3 に示すとおり、ウェブアプリケーションの脆弱性については、今四半期中に処理を終了したもの
は 68 件（累計 292 件）でした。このうち、「修正完了」したものは 57 件（累計 234 件）、ウェブサイト運営
者により「脆弱性はない」と判断されたものは 8 件（累計 37 件）、脆弱性を「運用で回避」すると対応されたものが 2 件（累計 8 件）、修正ではなく「当該ページを削除」することで対応されたものが 1 件（累計 13件）ありました。「修正完了」したものうちの 5 件（累計 68 件）はウェブサイト運営者からの依頼により IPA
が修正を確認しました。
このほか、「不受理」としたものが 4 件（累計 26 件）ありました。「連絡不可能」の届出のうち、13 件は修正されています。その中には、ウェブサイト運営者とは連絡が取れないためレンタルサーバ会社と連絡を取り修正が確認できたサイト、脆弱箇所の記述が削除されていることが確認できたサイトがあります。
また、7 件は、当該ページ自体が削除されており、脆弱性がなくなっていることを確認しています。メール
や電話でウェブサイト運営者と連絡が取れない場合は、郵送手段などでの連絡を試みています。
（括弧内の数字は、今四半期に「修正完了」、「脆弱性ではない」と判断されたもの等の件数）

153件
2005年
6月末

124

16 4 985

27

12 合計277件

224件
2005年
9月末

177

29

102

6 12

31

修正完了

37
(8)

234 (57)

内確認済 68（5）合計 379件

修正確認済み 1 3

取扱い終了：292件(68件)
2005年
12月末

22

取扱い中

8 13
(2)(1)

86

削除 未修正/7 不明 11

31
(0)

26
(4)

合計
435件

脆弱性ではない 運用で回避 当該ページを削除 連絡不可能 不受理
0

50

100

150

200

250

300

350

修正完了
脆弱性ではない
運用で回避
当該ページを削除
確認済： ウェブサイト運営者により脆弱性が修正されたもの： ウェブサイト運営者により脆弱性はないと判断されたもの： 修正はせず、運用により被害を回避しているもの： 修正ではなく当該ページを削除することで対応されたもの： 修正完了のうち、IPA が修正を確認したもの

取扱い中
連絡不可能
不受理

： ウェブサイト運営者が調査、対応中のもの： ウェブサイト運営者と連絡が取れず、取扱いができないもの： 告示で定める届出の対象に該当しないもの

400

図 1-3 ウェブアプリケーション 各時点における脆弱性関連情報の届出の処理状況

3

450

2

ソフトウエア製品の脆弱性関連情報の取扱いおよび調整

2.1

ソフトウエア製品の脆弱性情報

図 2-1 に、届出受付開始から今四半期までに IPA に届出られたソフトウエア製品の内訳を示します。
前四半期から、オープンソースソフトウエアに関する届出が増加しています。
30
24

25
18

20

16

15

15

17

15

12
8

10
4

5

1

1

2004Q3

2004Q4

2

0

図 2-1

2005Q1

2005Q2

オープンソース

それ以外

2005Q3

2005Q4

ソフトウエア製品の脆弱性 内訳（届出受付開始から 2005 年 12 月末まで）

届出受付開始から今四半期までに IPA に届出られたソフトウエア製品に関する脆弱性関連情報 133
件のうち、不受理のものを除いた 110 件の製品種類別の内訳を図 2-2 に、原因別の内訳を図 2-3 に、
脅威別の内訳を図 2-4 に示します。

2%2%
2%
2%
3%

7%
24% (31%)4%4%5%14% (13%)

7% (8%)

ウェブブラウザ
ウェブアプリ構築関係
グループウェア
メールクライアントソフト
アンチウイルスソフト
システム管理ソフトOS
検索システム
プロキシ
ウェブサーバ
SSL-VPNソフト
携帯機器
ネーム・ディレクトリサーバ
その他

11% (14%)

13% (10%)※1 件のものはその他に分類しています。
ウェブサーバ、プロキシサーバ、情報家電、ルータがあります

図 2-2（110 件の内訳） （グラフの括弧内は前四半期の数字）

ソフトウエア製品の脆弱性 種類別内訳（届出受付開始から 2005 年 12 月末まで）

図 2-2 から、IPA に届出があった脆弱性には、「ウェブブラウザ」「ウェブアプリ構築関係」など、ウェブに関連する製品についての脆弱性が多くあります。パソコンなどのコンピュータ上で動くソフトウエアだけ
でなく、情報家電や携帯機器などに関するものも含まれています。今四半期は、携帯電話によるインタ
ーネット接続サービスのブラウザにあった不具合について修正され、JVN で公表しました（後述）。

4

ウェブアプリケーションの脆弱性

16%

ファイルのパス名、内容のチェックの不備
36% (34%)

セキュリティコンテキストの適用の不備
証明書の検証に関する不備

15%

アクセス制御の不備
バッファのチェックの不備
仕様上の不備2%3%

その他 ウェブに関連する不備

5% (5%)
5% (8%)

図 2-3

11% (10%)
7% (10%)その他 実装上の不備（110 件の内訳）

ソフトウエア製品の脆弱性 原因別内訳（届出受付開始から 2005 年 12 月末まで）3

2%
3%

2%

2%

1%

1%
23% (24%)

3%
4%
4%
5%
6%
12% (9%)10% (12%)
10% (10%)

図 2-4

12% (13%)

任意のスクリプトの実行
情報の漏洩
なりすまし
サービス不能認証情報の漏洩
アプリケーションの異常終了
任意のファイルへのアクセス
任意のコードの実行
任意のコマンドの実行
資源の枯渇
通信の不正中継証明書の確認不能
セッション・ハイジャック
アクセス制限の回避
設定情報の漏洩
価格等の改ざん（110 件の内訳）

ソフトウエア製品の脆弱性 脅威別内訳（届出受付開始から 2005 年 12 月末まで）

図 2-3 から、脆弱性の原因は「ウェブアプリケーションの脆弱性」が最多であり、図 2-4 から、脅威についても「任意のスクリプト実行」が最多となっています。

2.2

ソフトウエア製品の脆弱性情報の調整および公表状況

JPCERT/CC は、表 2-1 に示す 3 種類の脆弱性関連情報について、日本国内の製品開発者当の関係者、および海外 CSIRT4の協力のもと、海外の製品開発者との調整を行っています。これらの脆弱性
関連情報に対する製品開発者の対応状況は、IPA と JPCERT/CC が共同運営している脆弱性対策情報
ポータルサイト JP Vendor status Notes（JVN）において公表しています（URL： http://jvn.jp/）。
また、前期に JVN で公表した≪「Tomcat」におけるリクエスト処理に関する脆弱性≫について、開発元である The Apache Software Foundation （ASF）から、正式な修正プログラムが提供されていない（2006 年 1 月 11 日現在）ため、IPA では、本脆弱性を解消する修正プログラムを作成し公表しました。

3

それぞれの脆弱性の詳しい説明については付録を参照してください。
CSIRT（Computer Security Incident Response Team）は、コンピュータセキュリティに関するインシデント（事故）への対応や調整、サポートをするチームのことです。

45

表 2-1 脆弱性関連情報の提供元別 脆弱性公表件数
情報提供元

今期

累計

① 国内の発見者から IPA に届出があったもの（1.（1）に記載）

13

54② 製品開発者自身から自社製品の脆弱性、対策方法について連絡を受けたもの

1

5③ 海外 CSIRT から連絡を受けたもの

11

92

25

151

計
（1） 国内の発見者および製品開発者から届出があり公表した脆弱性

届出受付開始から 2005 年 12 月末までの届出について、脆弱性関連情報の届出（表 2-1 の①）を受理してから製品開発者が対応状況を公表するまでに要した日数を図 2-5 に示します。全体の 54％の届出が 50 日以内に公表されています。

平均公表日数
2005/3Q まで
当該期公表分
通算
74

14
12
10

2005/4Q
67
72

8
6
4
2
0
10日

11日
〜 20日

図 2-5

21日
〜 30日

31日
〜 50日

51日
〜 100日101日〜 200日200日〜 300日

300日 〜

ソフトウエア製品の脆弱性 公表日数

表 2-2 に、国内の発見者および製品開発者から届出・連絡を受け、2005 年第 4 四半期に公表した脆弱性（表 2-1 の①および②）を示します。
複数の製品開発者のソフトウエア製品に影響がある脆弱性は、≪「OpenSSL」におけるバージョン・ロールバックの脆弱性≫（表 2-3 項番 1）、≪「HTTPD-User-Manage」におけるクロスサイト・スクリプティングの脆弱性≫（項番 2）の 2 件であり、特定の製品に関する脆弱性は 11 件でした。≪富士通製 Java
Runtime Environment のリフレクション API に関する脆弱性≫（項番 9）は、製品開発者自身から脆弱性およびその対策情報の連絡を受けたものです（前述の②）。また、≪「携帯電話の Web ブラウザにおける Referer ヘッダの扱いに関する問題≫（項番 14）は、製品開発者により脆弱性ではないとされていますが、ユーザへの周知を目的として、対策情報を JVN へ公開しました。
表 2-2 2005 年第 4 四半期に JVN で公表した脆弱性
項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN 公表日

複数開発者・
製品に影響がある脆弱性1

ウェブサーバなどで SSL による暗号化通信を行う「OpenSSL」 にお けるバ
ためのライブラリ「OpenSSL」に、利用するプロトコ 2005 年
ージョン・ロールバックのルのバージョンを低下させ、弱い暗号化通信方式 10 月 12 日
脆弱性を強制できてしまう問題があります。

2

ブラウザからウェブサーバのユーザ管理を行う「HTTPD-User-Manage」 「HTTPD-User-Manage」には、入力内容のエスケ
2005 年におけるクロスサイト・ス ープ処理に漏れがあります。そのため、第三者に11 月 16 日
クリプティングの脆弱性 よりウェブページにスクリプトを埋め込まれる可能性があります。

6

項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN 公表日

特定製品の脆弱性

3

販売促進用商品情報のデータ管理ソフトウエア「 eBASEweb 」 に お け る 「eBASEweb」には、ユーザの入力から SQL クエリ
2005 年SQL インジェクションの を作成する際のエスケープ処理に漏れがありま
10 月 21 日
脆弱性す。そのため、第三者により任意の SQL 命令をデータベース上で実行される可能性があります。

4

ウェブコンテンツ管理システム「XOOPS」には、独自のタグコード XOOPS Code の検査処理及び、「 XOOPS」 に お け る ク ロ
フォーラムモジュールにおける投稿表示に関する 2005 年
スサイト・スクリプティング
エスケープ処理に漏れがあります。このため、第三 10 月 24 日の脆弱性者によりウェブページにスクリプトを埋め込まれる可能性があります。

5

全 文 検 索 シ ス テ ム 「 Hyper Estraier 」 に は 、「Hyper Estraier」におけUnicode のファイル名を適切に取り扱わない問題
2005 年
るディレクトリ・トラバーサがあります。そのため検索用インデックスが作成で10 月 28 日
ル/サービス不能の脆弱
きなかったり、検索対象外のファイルを検索用イン性
デックスに登録してしまう可能性があります。

6

ウェブフォームの入力内容をメール送信する「PostMail」には、細工された文字列が与えられるKent Web2005 年「PostMail」におけるメー と、あらかじめ決められた以外の宛先にメールを送
11 月 11 日
ル第三者中継の脆弱性 信する問題があります。そのため、ウェブサイトが
迷惑メールの踏み台になる可能性があります。

7

ウェブブラウザ上からウェブコンテンツの発行や編「FreeStyleWiki」にクロス 集を行える「FreeStyleWiki」には、ウェブコンテンツ
2005 年
サイト・スクリプティングを 編集時の内容のチェックが不十分な問題がありま
12 月 5 日
含む複数の脆弱性す。そのため、第三者によりウェブコンテンツに任意のスクリプトが埋め込まれる可能性があります。

8

全文検索ソフトウエア「MitakeSearch」の検索度合「 MitakeSearch 」 に お け いを評価するランキング表示に関するエスケープ
2005 年るクロスサイト・スクリプテ 処理に漏れがあります。そのため、第三者によりラ12 月 5 日
ンキング機能の画面に任意のスクリプトが埋め込
ィングの脆弱性
まれる可能性があります。

9

富士通製の Java Runtime Environment に含ま
富士通製 Java Runtime
れるリフレクション API には脆弱性があります。そ2005 年
Environment のリフレクのため、Java アプレットが、セキュリティ設定を無12 月 13 日
シ ョ ン API に 関 す る 脆
視して、許可されている以上の権限で実行される
弱性
可能性があります。

「Opera」ウェブブラウザには、TITLE 要素に長い「Opera」におけるブック
文字列を含むウェブページをブックマークに登録す 2005 年
10 マーク機能に関する脆弱ると、「Opera」起動時にエラーが出て異常終了し 12 月 14 日性てしまい、起動できなくなる問題があります。
Apache HTTP Server のサーバサイドイメージマッ「mod_imap」におけるク プ処理モジュール「mod_imagemap」
2005 年
11 ロスサイト・スクリプティン 「mod_imap」には、HTTP ヘッダの処理に問題が12 月 15 日
グの脆弱性あります。そのためイメージマップに任意のスクリ
プトが埋め込まれる可能性があります。

7

項番

脆弱性

未対策状態でのセキュリティ上の問題点

JVN 公表日

伝言板などの記入式ホームページを作成する「WebNote Clip」におけ「WebNote Clip」には、リクエスト内容の確認が不 2005 年
12 る OS コマンド・インジェ
十分な問題があります。そのため、サーバ上で 12 月 20 日
クションの脆弱性
OS コマンドを実行される可能性があります。
ウェブ掲示板「BBSNote」には、投稿データ表示に「BBSNote」におけるクロ
関するエスケープ処理に漏れがあります。そのた 2005 年
13 スサイト・スクリプティング
め、投稿内容に任意のスクリプトが埋め込まれる 12 月 27 日の脆弱性可能性があります。
その他

携帯電話によるインターネット接続サービスのブラ
携帯電話の Web ブラウ
ウザに、送信すべきでない状況において、Referer 2005 年
14 ザにおける Referer ヘッ
12 月 9 日
情報を送信してしまう問題が確認されました。
ダの扱いに関する問題（2）海外 CSIRT から連絡を受け公表した脆弱性
表 2-3 および表 2-4 に、海外 CSIRT から連絡を受けた脆弱性を示します。海外 CSIRT から連絡を受けた脆弱性情報は、登録された国内の製品開発者のうち関連する製品開発者へ通知したうえ、日本語
訳を JVN に掲載しています。2005 年第 4 四半期は、米国 CERT/CC から 10 件、英国 NISCC（National
Infrastructure Security Co-ordination Centre）から 1 件の合計 11 件の脆弱性関連情報の連絡を受けました。このほかに、6 件の US-CERT Technical Cyber Security Alert を JVN で公表しました。
表 2-3 CERT/CC から連絡を受けた脆弱性関連情報および対応状況
項番

脆 弱 性

対応状況

1

Snort Back Orifice プリプロセッサにバッファオーバーフローの脆弱性

2

Clam AntiVirus におけるバッファオーバーフローの脆弱性

JVN 掲載3

unace にバッファオーバフローの脆弱性

JVN 掲載4

Cisco IOS に heap integrity checks を迂回される脆弱性

単独製品開発者に展開

5

Skype の URI ハンドラにバッファオーバーフローの脆弱性

JVN 掲載6

Skype にヒープオーバーフローの脆弱性

JVN 掲載7

Skype VCARD handling routine にバッファオーバーフローの脆弱性

JVN 掲載8

TCP プロトコルに Optimistic TCP acknowledgements による DoS が可
複数製品開発者に展開
能な脆弱性

9

Microsoft Internet Explorer の"Window()"オブジェクトの処理に任意のコード実行の脆弱性

10

Symantec 製品に含まれる RAR アーカイブ解凍ライブラリにヒープオーバ
単独製品開発者に展開
ーフローの脆弱性

単独製品開発者に展開

JVN 掲載表 2-4 NISCC から連絡を受けた脆弱性関連情報
項番
1

脆 弱 性

対応状況

ISAKMP プロトコルの実装に複数の脆弱性

複数製品開発者に展開

8

3

ウェブアプリケーションの脆弱性関連情報の取扱い

3.1

ウェブアプリケーションの脆弱性情報

届出受付開始から今四半期末までに IPA に届出られたウェブアプリケーションの脆弱性関連情報 435
件のうち、不受理のものを除いた 409 件の種類別内訳を図 3-1 に、脅威別内訳を図 3-2 に示します。
1%

1%

1%

4%

1%
1%
2%
2%
2%
3%
3%
3%
4%

43%(42%)

6%

6% (8%)
18%(16%)

クロスサイト・スクリプティング
SQLインジェクション
パス名パラメー タの未チェック
DNS情報の設定不備
ファイルの誤った公開
HTTPレスポンス分割
アクセス制限の回避
価格等の改ざんセッション管理の不備
デ ィレクトリ・トラバー サル
オー プンプロキ シ
セキ ュリティ設定の不適切な変更
メー ルの第三者中継
HTTPSの不適切な利用
クロスサイト・リクエスト・フォー ジェリ
初期パスワー ドの不備
その他

（409 件の内訳）

図 3-1（グラフの括弧内は前四半期の数字）

ウェブアプリケーションの脆弱性種類別内訳（届出受付開始から 2005 年 12 月末まで）5

図 3-1 から、脆弱性の種類は、依然として「クロスサイト・スクリプティング」が最多でしたが、「SQL イン
ジェクション」が増加しています。
「SQL インジェクション」の届出の多くは、データベースのエラーメッセージが表示されたページを発見したというものです。これまでに取扱いを終了した 46 件のうち、27 件は「SQL インジェクション」の問題が実際にあり修正したとの報告を受け、残りの 19 件はエラーメッセージが表示されていただけで実際にはSQL コマンドを挿入することはできず、「SQL インジェクション」の問題はなかったとの報告を受けました。

2%

2%

3%
3%

0.5%

2%

Cookie情報の漏洩
データの改ざん、消去
本物サイト上への偽情報の表示

26%(26%)3%

サーバ内ファイルの漏洩

6%

個人情報の漏洩
ドメイン情報の挿入
利用者のセキュリティレベルの低下

7%(8%)

ウェブキャッシュ情報のすり替え
なりすまし
踏み台

9%(10%)

メールシステムの不正利用
サーバ実装情報の漏洩

22%(20%)

その他
15%(25%)（409 件の内訳） （グラフの括弧内は前四半期の数字）

図 3-2
5

ウェブアプリケーションの脆弱性脅威別内訳（届出受付開始から 2005 年 12 月末まで）

それぞれの脆弱性の詳しい説明については付録を参照してください。

9図 3-2 から、発見者が届出時に想定した脅威別では、「クロスサイト・スクリプティング」により起こりう
る「Cookie 情報の漏洩」が最多であり、「SQL インジェクション」により起こりうる「データの改ざん、消去」、「DNS 情報の設定不備」により起こりうる「ドメイン情報の挿入」が増加しています。

3.2

ウェブアプリケーションの脆弱性の修正状況

届出受付開始から 2005 年 12 月末までの届出について、ウェブサイト運営者に脆弱性の詳細情報を通知してから修正されるまでに要した日数を脆弱性の種類別に図 3-3 および図 3-4 に示します。全体の85％の届出が、100 日以内に修正されています。
45

その他(24件)
デ ィレクトリ・トラバー サル(6件)
セッション管理の不備(7件)
パス名パラメー タの未チェック(9件)
HTTPレスポンス分割(12件)
DNS情報の設定不備(21件)
SQLインジェクション(27件)
クロスサイト・スクリプティング(128件)

40
35
30
25
20
15
10
5
0
当日

1日

2日

3日

図 3-3

4日
〜 5日

6日
11日
21日
31日
51日
101日
200日 300日 〜〜 10日 〜 20日 〜 30日 〜 50日 〜 100日 〜 200日 〜 300日

ウェブアプリケーションの脆弱性修正に要した日数

クロスサイト・スクリプティング(128件)
SQLインジェクション(27件)
DNS情報の設定不備(21件)
HTTPレスポンス分割(12件)
パス名パラメー タの未チェック(9件)セッション管理の不備(7件)デ ィレクトリ・トラバー サル(6件)
その他(24件)
0%
当日
6日 〜 10日
101日 〜 200日

図 3-4

10%

1日
11日 〜 20日
200日 〜 300日

20%

30%

40%

2日
21日 〜 30日
300日 〜

50%

60%

3日
31日 〜 50日

70%

80%

4日 〜 5日
51日 〜 100日

ウェブアプリケーションの脆弱性別 修正に要した日数

10

90%

100%

4

皆様へのお願い
脆弱性の修正を促進していくため、以下のとおり、ご注意ください。

z

ウェブサイト運営者およびシステム構築事業者の皆様へ「SQL インジェクション」の届出があったウェブサイトのうち、約 6 割のウェブサイトで、SQL エラー
表示がでているだけでなく実際に SQL コマンドが挿入できる状態にあったという結果になっています。あらためて、お使いのウェブアプリケーションを確認されることを、推奨します。

z

一般インターネットユーザの皆様へ
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がけてください。
■ お問い合わせ先
独立行政法人 情報処理推進機構 セキュリティセンター
Tel: 03-5978-7527

Fax: 03-5978-7518

E-mail: vuln-inq@ipa.go.jp
有限責任中間法人 JPCERTコーディネーションセンター
Tel: 03-3518-4600

Fax: 03-3518-4602

E-mail: office@jpcert.or.jp

11

プレスリリース付録

付表 1 ソフトウエア製品 脆弱性の原因分類
脆弱性の原因説明

届出において想定された脅威1

アクセス制御を行うべき個所において、アクセス制 設定情報の漏洩
御が欠如している
通信の不正中継
任意のスクリプトの実行
認証情報の漏洩2

ウェブアプリケーション ウェブアプリケーションに対し、入力された情報のチ 価格等の改ざん
ェックや内容の解釈、認証情報の取扱いに問題が サービス不能の脆弱性ある。「クロスサイト・スクリプティング」攻撃や「SQL 資源の枯渇
情報の漏洩
インジェクション」攻撃などに利用されてしまう
セッション・ハイジャック
通信の不正中継
なりすまし
任意のコードの実行
任意のコマンドの実行
任意のスクリプトの実行
認証情報の漏洩

アクセス制御の不備

仕様上の不備3

RFC 等の公開された規格に準拠して、設計、実装しサービス不能た結果、問題が生じるもの。プロトコル上の不備が資源の枯渇ある場合、ここに含まれる

4

証明書の検証に関する ウェブブラウザやメールクライアントソフトに証明書を検証する機能が実装されていない、または、検証
不備
なりすまし
が正しく行われずに、偽の証明書を受けいれてしまう5

セキュリティコンテキスト 本来、厳しい制限のあるセキュリティコンテキストで 情報の漏洩取り扱うべき処理を、緩い制限のセキュリティコンテ 任意のコードの実行の適用の不備任意のスクリプトの実行
キストで処理してしまう
バッファのチェックの

6

7

不備

想定外の長さの入力が行われた場合に、長さをチェ
サービス不能ックせずバッファに入力してしまう。「バッファオーバ
任意のコードの実行フロー」攻撃に利用されてしまう。

ファイルのパス名、内容 処理の際のパラメータとして指定されているディレク アプリケーションの異常終了
トリ名やファイル名、ファイルの内容をチェックしていのチェックの不備
サービス不能ない。任意のディレクトリのファイルを指定できてしま
資源の枯渇
い、「ディレクトリ・トラバーサル」攻撃に利用されてし任意のスクリプトの実行まう。また、破損したファイルや不正に書き換えられ任意のファイルへのアクセスたファイルを処理した際に不具合が生じる

12プレスリリース付録

付表 2 ウェブアプリケーション脆弱性の分類
説明

届出において想定された脅威

脆弱性の種類

深刻度

1

ファイルの誤った公開

高一般に公開すべきでないファイルが公開されて サーバ内ファイルの漏洩
おり、自由に閲覧できる状態になっている
個人情報の漏洩2

パス名パラメータの未チェック

高ユーザからの入力を処理する際のパラメータとして指定されているファイル名を、ユーザが変更
サーバ内ファイルの漏洩
し、ウェブサーバ上の任意のディレクトリのファイルを指定できてしまう

3

ディレクトリ･トラバーサル

高ウェブサーバ上のディレクトリのアクセス権を超えて、本来許可されている範囲外のディレクトリ サーバ内ファイルの漏洩にアクセスできる4

セッション管理の不備

高セッション管理に、推測可能な情報を使用してい個人情報の漏洩るため、他のユーザの情報が容易に推測でき、権限の無い者によるサー
他のユーザになりすまして、サービスを利用す
ビス利用
ることができる

5

SQL コマンド・
インジェクション

高入力フォームへ SQL コマンド（データベースへ
サーバ内ファイルの漏洩の命令）を入力し、データベース内の情報の閲
データの改ざん、消去
覧、更新、削除などができる

6

SSI インジェクション

高

入力フォームなどへ悪意のある SSI コマンドを入力し、ウェブサーバ上での OS コマンドの実行 サーバ内ファイルの漏洩や、非公開のファイルの表示ができる

7

DNS 情報の設定不備

高

DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名の持ち主である ドメイン情報の挿入
かのようにふるまえてしまう

8

アクセス制限の回避

中本来設けられているアクセス制御機能による制
利用者のセキュリティレ
限を回避し、制限により行えないはずの活動がベルの低下できてしまう中

外部の第三者により、他のサーバへのアクセスを中継するサーバとして利用され、不正アクセス
踏み台などの際にアクセス元を隠すための踏み台にさ
れてしまう

中

ユーザの Cookie 情報を知らないうちに転送さ
Cookie 情報の漏洩せたり、偽の情報を表示させたりするような罠の本物サイト上への偽情報
リンクをユーザにクリックさせ、個人情報等を盗の表示むことができる

中

ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそかにアクセスさデータの改ざん、消去
せ、登録情報の変更や商品の購入をさせることができる

中

攻撃者がユーザに対し、悪意のある要求をウェ
ブサーバに送信するように仕向けることで、ウェ ウェブキャッシュ情報のブサーバからの応答を分割させて応答内容をす すり替え
り替え、ユーザに対して偽のページを表示させることができる

910

オープンプロキシ

クロスサイト･
スクリプティング

クロスサイト・リクエスト・
11
フォージェリ

13 HTTP レスポンス分割

13

プレスリリース付録
脆弱性の種類

深刻度

説明

届出において想定された脅威

セキュリティ設定の14
不適切な変更中

ユーザに対し、ソフトウエアをインストールさせたり、ブラウザのセキュリティレベルを下げるよう 利用者のセキュリティレ
指示することでクライアント PC のセキュリティ設 ベルの低下
定を低下させる

15 メールの第三者中継

低他人のメールサーバを用いることで、自分の身第三者への DoS 攻撃
元を隠してメールを送信することができる

低認証に使用するために、管理者が発行したユー
ザ ID や初期パスワードが、単純であり推測が容個人情報の漏洩易である、または、パスワードそのものを使用していない

17 不適切なエラー処理

低表示されるエラーの内容に、一般ユーザには不要な情報が含まれているため、ウェブサイトのサーバ実装情報の開示
実装の詳細や、ファイルやユーザの有無がわかる

18 価格等の改ざん

低ショッピングサイトにおいて、価格情報等が利用
データの改ざん
者側で書き換えられる

低

HTTPS による暗号化をしているが、ユーザへの説明に間違いがある、または、ウェブサイトの設 なりすまし
計上、ユーザから証明書が確認できない

16 初期パスワードの不備

19

HTTPS の不適切な利用

API: Application Program Interface

CGI: Common Gateway Interface

HTTP: HyperText Transfer Protocol

HTTPS : Hypertext Transfer Protocol Security
ISAKMP : Internet Security Association Key Management Protocol
SQL: Structured Query Language

SSI: Server Side Include

SSL: Secure Socket Layer

TCP: Transmission Control Protocol

URI: Uniform Resource Identifier

URL: Uniform Resource Locator14プレスリリース付録「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み）
ソフトウエア製品の脆弱性

IPA, JPCERT/CC

IPA【受付機関】
受付機関】
報告された
脆弱性関連
情報の
内容の確認

発見者
ウ
ェ
ブ
サ
イ
ト
の
脆
弱
性

脆弱性関連
情報通知 JPCERT

脆弱性関連
情報届出

/CC

製品開発者

脆弱性関連
情報届出

【調整機関】
調整機関】 対応状況の集約，
公表日の決 公表日の
調整等
定，海外の
調整機関と
の連携等

脆弱性関連情報通知

システム導入支援者

対策情報ポータル
（JVN）

対策方法
等公表

ユーザ
政府
企業

セキュリティ
対策推進
協議会 等

個人

個人情報
漏洩時は
ウェブサイト 事実関係を
運営者
公表
検証，対策
実施

①製品開発者及びウェブサイト運営者による脆弱性対策を促進【期待効果】 ②脆弱性関連情報の放置・危険な公表を抑制③個人情報等重要情報の流出や重要システムの停止を予防
出典：脆弱性関連情報取り扱い説明会資料 「ソフトウエア等脆弱性関連情報取扱基準とガイドラインの概要説明」，経済産業省（2004年7月）

15