Japan Computer Emergency Response Team Coordination Center

電子署名者 : Japan Computer Emergency Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku, email=office@jpcert.or.jp, o=Japan Computer Emergency
Response Team Coordination Center, cn=Japan Computer Emergency Response Team
Coordination Center
プレスリリース
日付 : 2010.10.21 12:00:29 +09'00'

2010 年 10 月 21 日
独立行政法人情報処理推進機構
一般社団法人 JPCERT コーディネーションセンター

ソフトウェア等の脆弱性関連情報に関する届出状況 [2010 年第 3 四半期（7 月～9 月）]～ウェブサイトの届出は SQL インジェクション、セッション管理の不備が増加～
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）および JPCERT/CC（一般社団法人
JPCERT コーディネーションセンター、代表理事：歌代 和正）は、 2010 年 第 3 四半期 （7 月～9月）の脆弱性関連情報の届出状況1をまとめました。
（1）SQL インジェクション、セッション管理の不備の届出が増加（別紙 1 1.1、3.1 参照）

2010 年第 3 四半期の IPA への脆弱性関連情報の届出件数は 115 件です。内訳は、ソフトウェア製品
に関するものが 42 件、ウェブアプリケーション（ウェブサイト）に関するものが 73 件です。ウェブサ
イトに関する届出は、前四半期と比較して、「クロスサイト・スクリプティング」の届出が大幅に減少（前四半期：88 件、今四半期：25 件）し、代わりに、「SQL インジェクション」（前四半期：9 件、今四半期：23 件）、「セッション管理の不備」（前四半期：4 件、今四半期：11 件）の届出が大幅に増加しています。

（2） 脆弱性の修正完了件数が 3,600 件を突破 （別紙 1 1.2 参照）
2004 年 7 月の届出受付開始からのソフトウェア製品およびウェブサイトの脆弱性の修正完了件数の累計は 3,644 件となりました。内訳は、ソフトウェア製品が 435 件、ウェブサイトが 3,209 件です。これは、本届出制度（ウェブサイト運営者への通知含む）が、定着してきていることを示していると考えられます。
（3） 携帯電話向けウェブサイトの脆弱性の届出が増加（別紙 1 3.3 参照）

ウェブサイトの脆弱性のうち、「セッション管理の不備」と「認証に関する不備」の届出に顕著な増加が見られます。届出全体に占める比率はまだ小さいものの、本届出制度開始から 2009 年 9 月末までの 5 年 3 か月間の累計がそれぞれ 40 件、29 件であったものが、2009 年 10 月から 2010 年 9 月末での1 年間でそれぞれ 26 件、19 件となっています。
これらの脆弱性に関する届出は、携帯電話向けのウェブサイトや、複数のウェブサイト（ウェブペー
ジ）間で連携する機能を持ったソーシャルネットワーキングサービス（SNS）等のウェブサイトに対するものが多く、約 6 割を占めています。
ウェブサイト運営者は「クロスサイト・スクリプティング」や「SQL インジェクション」の対策だけでなく、「セッション管理の不備」や「認証に関する不備」にも対応することが重要です。中でも、携帯電話向けのウェブサイトや複数のウェブサイト（ウェブページ）間で連携する機能を持ったウェブサ
イトの運営者は、「セッション管理の不備」及び「認証に関する不備」の脆弱性には特に注意することが必要です。
■ 報道関係からのお問い合わせ先IPA 戦略企画部広報グループ 横山／大海Tel: 03-5978-7503 Fax: 03-5978-7510
E-mail: pr-inq@ipa.go.jp
JPCERT/CC 事業推進基盤グループ 広報 江田
Tel: 03-3518-4600 Fax: 03-3518-4602
E-mail: pr@jpcert.or.jp■ 本件に関するお問い合わせ先
IPA セキュリティセンター 渡辺／大森
Tel: 03-5978-7527 Fax: 03-5978-7518
E-mail: vuln-inq@ipa.go.jp
JPCERT/CC 情報流通対策グループ 古田
Tel: 03-3518-4600 Fax: 03-3518-4602
E-mail: office@jpcert.or.jp
1

ソフトウェア等脆弱性関連情報取扱基準：経済産業省告示（http://www.meti.go.jp/policy/netsecurity/downloadfiles/vulhandlingG.pdf）に基づき、2004 年 7 月より開始しました。IPA は届出受付・分析、JPCERT/CC は国内の製品開発者などの関連組織との調整を行っています。

1

別紙 1

1. 2010 年 第 3 四半期

ソフトウェア等の脆弱性関連情報に関する届出状況（総括）

1.1 脆弱性関連情報の届出状況～ 脆弱性の届出件数の累計が 6,400 件に達しました ～表 1.

2010 年 第 3 四半期 の IPA への脆弱性関連情2010 年 第 3 四半期 の届出件数

報の届出件数は、ソフトウェア製品に関するもの

分類

42 件、ウェブアプリケーション（ウェブサイト）
に関するもの 73 件、合計 115 件でした（表 1）。

届出件数

累計件数

ソフトウェア製品

42 件

1,126 件

ウェブサイト73 件

5,291 件

115 件

6,417 件

届出受付開始（2004 年 7 月 8 日）からの累計

合計

は、ソフトウェア製品に関するもの 1,126 件、ウェブサイトに関するもの 5,291 件、合計 6,417 件となりました（表 1）。ウェブサイトに関する届
出が全体の 82%を占めています。ウェブサイトに関する届出は 2009 年第 3 四半期から 130 件前後で推移していましたが、今四半期は前四半期と比較してウェブサイトの届出が減少し、ソフトウェア製品の届出が増加しました（図 1）。1 就業日あたりの届出件数は 2010 年第 3 四半期末で4.22 件となりました（表 2）。
表 2．届出件数（2004 年 7 月 8 日の届出受付開始から各四半期末時点）
2007
1Q

2008
1Q

2Q

3Q

2009
1Q

4Q

2Q

3Q

4Q

2010
1Q

2Q

3Q

累計届出件数[件]1,310 2,045 2,342 2,885 4,375 5,227

5,656 5,826 5,977

6,148 6,302 6,417

１就業日あたり[件/日]

1.95

4.66

4.40

2.24

2.38

2.79

4.00

ソフトウェア製品

四
半
期
件
数

1,400
1,200

ソフトウェア製品（累計）1,000

ウェブサイト（累計）

400
200
0

801

3,000
386

912 955
43

1,126
1,084
9941,018 1,050

131 127 139 120
39
24
32
34
42 73

37 96 46 95 49 103 66 80 52244 69208 54

60

51

1Q 2Q
2007

4Q

1Q 2Q 3Q
2009

4Q

1Q 2Q
2008

4.33

4.22

4,000

3,514

845 940 1,043
801 861465 511 560 626 678 747
3Q

4.47

5,291
4,8324,959 5,098 5,218
4,701
5,000
4,315

2,084
1,575
509
1,1231,367

600

4.56

1,430

ウェブサイト

800

4.53

3Q

累

2,000 計件

1,000 数
0

4Q

1Q 2Q
2010

3Q

図1.脆弱性関連情報の届出件数の四半期別推移
1.2 脆弱性の修正完了状況～ 脆弱性の修正完了件数が 3,600 件を突破しました ～ソフトウェア製品の脆弱性の届出に関して、

表 3.

JPCERT/CC が調整を行い、製品開発者が修正を完

2010 年 第 3 四半期 の修正完了状況
分類

修正完了件数 累計件数

了し、 2010 年 第 3 四半期 に JVN で対策情報をソフトウェア製品

9件

435 件

公表したものは 9 件（累計 435 件）でした（表 3）。

ウェブサイト157 件

3,209 件

166 件

3,644 件1

ウェブサイトの脆弱性の届出に関して、IPA がウ

合計ェブサイト運営者に通知を行い、 2010 年 第 3 四半期 に修正を完了したものが 157 件（累計 3,209 件）でした（表 3）。
1

Japan Vulnerability Notes：脆弱性対策情報ポータルサイト。国内で利用されている製品の脆弱性対策情報を公表し、システムのセキュリティ対策を支援しています。IPA、JPCERT/CC が共同で運営しています。http://jvn.jp/

12.ソフトウェア製品の脆弱性の処理状況
2010 年 第 3 四半期 のソフトウェア製品の脆弱性の処

表 4．製品の脆弱性の終了件数

2

理状況は、JPCERT/CC が調整 を行い、製品開発者が脆

分類

件数

累計

公表済み

9件

435 件

個別対応

0件

17 件

脆弱性ではない

3件

42 件

不受理

7件

163 件

19 件

657 件

弱性の修正を完了し、JVN で対策情報を公表したものが 9
件（累計 435 件）、製品開発者が個別対応を行ったものは0 件（累計 17 件）、製品開発者が脆弱性ではないと判断したものは 3 件（累計 42 件）、告示で定める届出の対象に3
該当せず不受理としたものは 7 件（累計163 件）でした。

修正完了

合計

これら取扱いを終了したものの合計は 19 件（累計 657 件）です（表 4）。

この他、海外の CSIRT4から JPCERT/CC が連絡を受けた 32 件（累計 529 件）を JVN で公表しました。これらの公表済み件数の期別推移を図 2 に示します。
国内発見者からの届出
国内発見者からの届出(累計)
70
60

四 50
半 40
期 30
件 20
数 10

303 328
238 261 286 242 261
193 211170

海外のCSIRTからの連絡
海外のCSIRTからの連絡（累計）357 375274

392 407 422

299

441 456367 384
321 337

497

529
435

400 406

28 35 23 23 18 25 31 17 19 25 13 29 25 18 22 17 16 15 30 15 17 19 16 15

0

476

6

426

20 20 21 9 32

550
500
450
400
350 累
300 計
250
200 件
150 数
100
50
0

1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q
2007
2008
2009
2010

図2.ソフトウェア製品の脆弱性対策情報の公表件数
2.1 JVN で公表した主な脆弱性対策情報
今四半期は、（1）「Microsoft Windows」におけるサービス運用妨害 （DoS） の脆弱性5、（2）「SEIL/X シリーズ」および「SEIL/B1」における IPv6 Unicast RPF 機能に関する脆弱性6、（3）「moobbs」におけるクロスサイト・スクリプティングの脆弱性7、（4）「moobbs2」におけるクロ
スサイト・スクリプティングの脆弱性8、（5） futomi's CGI Cafe 製「高機能アクセス解析 CGI」
におけるクロスサイト・スクリプティングの脆弱性9などの脆弱性対策情報を JVN で公表しました。

2

JPCERT/CC 活動概要 Page13~18（https://www.jpcert.or.jp/pr/2010/PR20101007.pdf）を参照下さい。
今四半期の中で不受理とした 1 件、前四半期までの届出の中で今期に不受理とした 6 件の合計です。
4
Computer Security Incident Response Team。コンピュータセキュリティインシデント対応チーム。コンピュータセキュリ
ティに関するインシデント（事故）への対応・調整・サポートをする組織です。
5
本脆弱性の深刻度=レベル III（危険）、CVSS 基本値=7.8、別紙 2 P.4 表 1-2 項番 1 を参照下さい。
6
本脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.3、別紙 2 P.5 表 1-2 項番 6 を参照下さい。
7
本脆弱性の深刻度=レベル II（警告）、CVSS 基本値=5.0、別紙 2 P.5 表 1-2 項番 7 を参照下さい。
8
本脆弱性の深刻度=レベル II（警告）、CVSS 基本値=5.0、別紙 2 P.5 表 1-2 項番 8 を参照下さい。
9
本脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.3、別紙 2 P.5 表 1-2 項番 9 を参照下さい。
32

2.2 製品開発者は IPv6 の脆弱性を作りこまないように
2010 年第 3 四半期は、IPv6 に関連する脆弱性が 2 件修正され JVN で対策情報を公表しました。
今四半期には IPv6 に関連し、意図しない通信が行われる脆弱性（JVN#12683004）や、OS が使用不能になる脆弱性（JVN#86832361）が修正されました。また 2009 年にも、ネットワーク機器などが使用不能になる脆弱性（JVN#75368899）が修正されています。これらの原因は、IPv6
Unicast Reverse Path Forwarding 機能、IPv6 拡張ヘッダーの処理、Neighbor Discovery Protocolに関連したパケットの処理に、それぞれ問題がありました。このように IPv6 は、IPv4 にない機能を多く含んでおり、そのような部分に脆弱性が発見されています。OS やネットワーク機器に
おいて、IPv6 機能は以前から提供されていましたが、今後、新規に割り当てることができる IPv4
アドレスの枯渇に伴い、IPv6 が実運用に入る例が増えると考えられます。
製品開発者は、下記のツールやドキュメントを参考にして、IPv6 に関する既知の脆弱性を作り込まないとともに、新たな脆弱性への対応能力を高めていく必要があります。
TCP/IP に係る既知の脆弱性検証ツール10
TCP/IP に係る既知の脆弱性に関する調査報告書11
組込みシステムのセキュリティへの取組みガイド（2010 年度改訂版）12

3.ウェブサイトの脆弱性の処理状況
表5.ウェブサイトの脆弱性の終了件数

2010 年 第 3 四半期 のウェブサイトの脆弱性の処理

分類

状況は、IPA が通知を行い、ウェブサイト運営者が修正件数累計を完了したものが 157 件（累計 3,209 件）、IPA が注意

修正完了

157 件 3,209 件

喚起等を行った後に取扱いを終了したものが 14 件（累注意喚起

14 件 1,130 件

計 1,130 件）、IPA およびウェブサイト運営者が脆弱性で脆弱性ではない

12 件

247 件

連絡不可能

1件

22 件

不受理

5件

148 件

はないと判断したものが 12 件（累計 247 件）、ウェブサ
イト運営者と連絡が不可能なものが 1 件（累計 22 件）、告示で定める届出の対象に該当せず不受理としたもの

合計

が 5 件13（累計 148 件）でした。

189 件 4,756 件取扱いを終了したものの合計は 189 件（累計 4,756 件）です（表 5）。これらのうち、修正完了件数の期別推移を図 3 に示します。
ウェブサイト脆弱性の修正完了
ウェブサイト脆弱性の修正完了(累計)

700
600

2,223
1,988

500

四 400
半
期 300
件 200
数 100
0

978
748 815543 629 655
66

86

26

93

67

3,052 3,209 3,500
2,886
3,000
2,654
2,500
2,000 累

1,508
1,334
1,133

163 155

1,500 計480

201 1741,000
235
431 232 166 157

500
0

1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q
2007
2008
2009
2010

図3.ウェブサイトの脆弱性の修正完了件数
10

http://www.ipa.go.jp/security/vuln/vuln_TCPIP_Check.html
http://www.ipa.go.jp/security/vuln/vuln_TCPIP.html
12
http://www.ipa.go.jp/security/fy22/reports/emb_app2010/13
今四半期の中で不受理とした 4 件、前四半期までの届出の中で今期に不受理とした 1 件の合計です。
11

3

件
数

3.1 届出のあった対象ウェブサイトの運営主体の内訳と脆弱性の種類
今四半期に IPA に届出のあったウェブサイトの脆弱性関連情報 73 件のうち、不受理としたものを除いた 69 件について、対象ウェブサイトの運営主体別内訳は、企業合計が 37 件（53%）、地方公共団体が 21 件（31%）、教育・学術機関が 3 件（4%）、個人が 3 件（4%）などです（図 4）。
また、これらの脆弱性の種類は、クロスサイト・スクリプティングが 25 件（36%）、SQL イン
ジェクションが 23 件（33%）、セッション管理の不備が 11 件（16%）などとなり（図 5）、前四半期と比較して、「クロスサイト・スクリプティング」の届出が大幅に減少（前四半期：88 件、今四半期：25 件）し、代わりに、「SQL インジェクション」（前四半期：9 件、今四半期：23 件）、「セッション管理の不備」（前四半期：4 件、今四半期：11 件）の届出が大幅に増加しています。
ウェブサイト運営者は脆弱性を作り込まないようなウェブサイトの企画・設計にあたることが必要です。届出件数が多く広く知れ渡っている脆弱性は、悪意のある第三者に発見される可能性も高く、特に注意する必要があります。
企業（株式・上場）

クロスサイト・スクリプティング53
3 (4%) (7%)(4%)

企業（株式・非上場）企業（その他）
地方公共団体7(10%)

SQLインジェクション
セッション管理の不備
認証に関する不備

教育・学術機関

2
3
5
(3%)
(5%)
(7%)

25
(36%)

11
(16%)

HTTPSの不適切な利用

個人
その他

21
(31%)

29
(42%)

その他

1
(2%)

企業合計：37(53%)
総数：69件23(33%)

総数:69件図4.ウェブサイトの運営主体（2010年3Q）

図5.ウェブサイトの脆弱性の種類（2010年3Q）

3.2 ウェブサイトの脆弱性で取扱いが長期化（90 日以上）している届出は 394 件
ウェブサイト運営者から脆弱性を修正した旨の通知が無い場合、IPA は脆弱性が攻撃された場合の脅威を分かりやすく解説するなど、1～2 か月毎に電子メールや電話、郵送などの手段で脆弱性対策を促しています。
ウェブサイトの脆弱性関連情報のうち、取扱いが長期化（IPA からウェブサイト運営者へ脆弱性関連情報を通知してから今四半期末までに脆弱性を修正した旨の通知が無く 90 日以上経過）しているものについて、経過日数毎の件数を図 6 に示します。経過日数が 90 日から 199 日に達したものは 31 件、200 日から 299 日のものは 27 件など、これらの合計は 394 件（前四半期は 440件）です。前四半期の 440 件のうち、今四半期に 72 件が取扱終了となり減少した一方、新たに26 件が 90 日以上経過したため増加し、合計で前四半期から 46 件の減少となりました。
ウェブサイトの情報が盗まれてしまう可能性のある SQL インジェクションのように、深刻度の高い脆弱性でも修正が長期化しているものがあります。ウェブサイト運営者は脆弱性を攻撃された場合の脅威を認識し、迅速な対策を講じる必要があります。
その他
SQLインジェクション
クロスサイト・スクリプティング

100

78
80

件
数

60

50

49

40

31

2
13

7

20

8
2
21

27

18

6
3
18

35

200～
299日

300～
399日

6
19

52
3
15

53
34

24

0
90～
199日

400～
499日

500～
599日

600～
699日

45
32

13
20

16

12

5
1
10

700～
799日

800～
899日

14

9

4
0
10

13

900～
999日

1000日
以上

10

図6．取扱いが長期化(90日以上経過)しているウェブサイトの経過日数と脆弱性の種類

4

3.3 ウェブサイトの運営者はセッション管理や認証の脆弱性にも注意を2009 年 10 月から 2010 年 9 月末までの 1 年間に届出のあったウェブサイトの脆弱性 459 件のうち、不受理としたものを除いた 436 件について、脆弱性の種類で分類すると、クロスサイト・
スクリプティング 246 件（56%）、SQL インジェクション 69 件（16%）
、セッション管理の不備
26 件（6%）、HTTPS の不適切な利用 24 件（6%）、認証に関する不備 19 件（4%）、ファイルの誤った公開 14 件（3%）となっています（図 7）。
また、2009 年第 4 四半期以降、四半期別に届出割合の推移を見ると、セッション管理の不備及
び、認証に関する不備の届出が目立ってきています（図 8）。届出全体に占める比率はまだ小さい
ものの、本届出制度開始から 2009 年 9 月末までの 5 年 3 か月間の累計がそれぞれ 40 件、29 件であったものが、2009 年 10 月から 2010 年 9 月末での 1 年間でそれぞれ 26 件、19 件となっています。（図 9）。
これらの脆弱性に関する届出は、携帯電話向けのウェブサイトや、複数のウェブサイト（ウェブページ）間で連携する機能を持ったソーシャルネットワーキングサービス（SNS）等のウェブサイトに対するものが、最近特に増えています。
これらの届出の傾向により、ウェブサイト運営者は、クロスサイト・スクリプティング、SQL
インジェクションの脆弱性対策だけではなく、セッション管理の不備及び認証に関する不備についての脆弱性にも注意して対応することが重要です。中でも、携帯電話向けのウェブサイトや、複数のウェブサイト（ウェブページ）間で連携する機能を持ったウェブサイトの運営者は、セッション管理の不備及び認証に関する不備の脆弱性には特に注意して対応してください。
クロスサイト・スクリプティング
SQLインジェ クショ ン
セッショ ン管理の不備
HTTPSの不適切な利用認証に関する不備
ファ イルの誤った公開
その他
14 38

(9%)
19 (3%)
(4%)
24
(6%)
246
26
(56%)
(6%)
69
(16%)

クロスサイト・スクリプティング
セッショ ン管理の不備
認証に関する不備
その他
2009年
4Q

54%

2%
14% 4% 5% 8% 13%

2010年
1Q

53%

15%

2010年
2Q
2010年
3Q

36%

20%

図7.脆弱性の種類別届出割合

33%

40%

60%

17%

80%

2,011
704
773
40
66
111
135
29
48
111
125
1,701
1,739
2010年9月末

4% 7% 3%100%

図8.四半期別 脆弱性の種類別届出割合

その他

2009年9月末

2%
5% 11%3% 11%
4% 1%
7% 4% 4% 6%

74%

0%

クロ スサ イ ト ・ ス
クリプティング
SQL イ ン ジ ェ ク
ショ ンセッショ ン管理の不備
HTTPS の 不 適 切な利用
認 証 に関 する 不備
ファ イルの誤った
公開

SQLインジェ クショ ン
HTTPSの不適切な利用
ファ イルの誤った公開図9.脆弱性の種類別届出累計件数推移

5

2,257

3.4 ウェブサイトの運営者は外部からの脆弱性の指摘に対応できる体制の整備を2009 年 10 月から 2010 年 9 月末までの 1 年間に届出されたウェブサイトのうち、ウェブサイト運営者へ脆弱性情報を通知した届出 326 件14について、IPA が連絡先を特定し、特定した連絡
先に連絡を取り始めてから実際に脆弱性情報を通知するまでに要した日数15は、7 日以内が 261件（80%）、8～30 日が 50 件（15%）、31 日以上が 15 件（5%）でした（図 10）。ウェブサイト
の運営主体別では、団体や教育・学術機関が時間を要する傾向にあります（図 11）。

50
(15%)

15
(5%)

7日以内

個人・不明

7件

団体

62件

政府機関

32件

教育・学術機関11件

企業（株式・上場）33件

企業(その他）

180件

8‐30日以内
31日以上

261
(80%)

0%

20%

40%

60%

80%

100%

図10. 脆弱性情報の通知に要した日数 図11. ウェブサイトの運営主体別
脆弱性情報の通知に要した日数
脆弱性情報を通知するのに、1 週間以上を要している届出 65 件（20%）のうち、IPA からの連絡に対してウェブサイト運営者から返信がないため脆弱性情報の通知に時間を要した届出が 52件（80%）あります。また、脆弱性情報を通知するのに 8 日以上要しているウェブサイトで、80%以上が個人情報を取り扱っています（図 12）。
脆弱性情報を通知するのに要した日数が 7 日以内である届出では、177 件（68%）が 90 日以内に取扱い終了しており（図 13）、脆弱性情報を通知するのに日数を要していないウェブサイト運
営者は、脆弱性対策についても迅速に対応をしています。
あり

なし

取扱い中

90日以内

91‐200日以内

201日以上

取扱い終了
31日
以上

31日以上

8‐30日
以内

8‐30日以内

7日
以内

7日以内
0% 20% 40% 60% 80% 100%

10

5

21

28

59
0%

1

177
20%

40%

60%

22 3
80%

100%

図13. 脆弱性情報の通知に要した
日数別の取扱い状況

図12. 脆弱性情報の通知に要した
日数別個人情報取扱いの有無

脆弱性が悪用された場合、個人情報漏洩やその他の被害が発生する可能性があります。ウェブ
サイト運営者は外部から脆弱性に関する連絡を受け、その脆弱性に適切な対策を実施できる体制を整備することが重要となります。
14
15「不受理」、「注意喚起」、「脆弱性ではないため取扱い終了」、「運営主体が地方公共団体」を除く
IPA からウェブサイトに記載されている問合せ窓口に連絡を取り、ウェブサイトを運営している担当者へ取り次いでもらった後に、担当者宛に脆弱性情報を送付しています。

6

別紙 2

届出のあった脆弱性の処理状況の詳細
1. ソフトウェア製品の脆弱性の処理状況の詳細
1.1 ソフトウェア製品の脆弱性の処理状況
ソフトウェア製品の脆弱性関連情報の届出について、処理状況を図 1-1 に示します。今四半期に公表した脆弱性は 9 件（累計 435 件）です。また、製品開発者が「個別対応」したものは 0 件（累計 17 件）、製品開発者が「脆弱性ではない」と判断したものは 3 件（累計 42 件）、「不受理」としたものは 7 件（累計 163 件）、取扱い中は 469 件です。
584
2009年
9月末

384

148

410

合計 994

17 37

151

413

合計 1,018

17 38

155

434

1735

605
2009年
12月末

400
616

2010年
3月末

406

合計 1,050

638
2010年
6月末

426

17 39

合計 1,084

446

156

取扱い終了 657(19)

2010年
9月末

公表済み 435 (9 )17 42(0) (3)

不受理

163 (7)

取扱い中 469

合計 1,126

800

1,200

個別対応 脆弱性ではない

0

200

400

600

1,000

括弧内の数値は今四半期に処理を終了した件数

公表済み：JVN で脆弱性への対応状況を公表したもの

個別対応：製品開発者からの届出のうち、製品開発者が個別対応したもの

脆弱性ではない：製品開発者により脆弱性ではないと判断されたもの

不受理：告示で定める届出の対象に該当しないもの

取扱い中：製品開発者が調査、対応中のもの

図 1-1.ソフトウェア製品 各時点における脆弱性関連情報の届出の処理状況

1.2 届出のあったソフトウェア製品の種類
届出受付開始から今四半期までに IPA に届出のあったソフトウェア製品に関する脆弱性関連情報 1,126 件のうち、不受理のものを除いた 963 件の製品種類別の内訳を図 1-2 に示します。
図 1-2 に示すように、IPA に届出のあった脆弱性には、「ウェブアプリケーションソフト」に関するものが多くあります。

7

12%

ウェブアプリケーションソフト

2%

ウェブブラウザ3%

アプリケーション開発・実行環境

3%

グループウェア

44%
(45%)

3%

ルータ
メールソフト3%

ウェブサーバ3%

システム管理ソフト

4%(4%)

ファイル管理ソフト
アンチウイルスソフト
OS

6%
(6%)

その他

7%
(7%)

10%
(10%)

(963件の内訳、グラフの括弧内は前四半期までの数字)※その他には、周辺機器、ワープロソフト、データベース、携帯機器などがあります。

図1-2.ソフトウェア製品の脆弱性の製品種類別内訳(届出受付開始から2010年9月末まで)

届出受付開始から今四半期までに IPA に届出のあったソフトウェア製品に関する脆弱性関連情報 1,126 件のうち、不受理のものを除いた 963 件について、オープンソースソフトウェアとそれ以外のソフトウェアの脆弱性の届出件数の推移を図 1-3 に示します。今四半期はオープンソース
ソフトウェアの届出が 8 件ありました。直近の 1 年間は 10 件弱で推移しています。
120件
100件

オープンソースソフトウェア
それ以外

33

80件
60件

8
52

40件
20件
0件

74
15

1 1
15 11

4
9

19
10
2 12
16 11 19 14 20 14

9

24

19 11

9
52

25 25 32

20 20 14
14

8

8
10

6
33
10
30 33 29 30 31
22
21 28
11 19

3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q
2004
2005
2006
2007
2008
2009
2010

図1-3.オープンソースソフトウェアの脆弱性の届出件数(963件の内訳)

1.3 脆弱性の原因と脅威
届出受付開始から今四半期までに IPA に届出のあったソフトウェア製品に関する脆弱性関連情報 1,126 件のうち、不受理のものを除いた 963 件の原因別16の内訳を図 1-4 に、原因別の届出件数の推移を図 1-5 に、脅威別の内訳を図 1-6 に示します。
図 1-4 に示すように、脆弱性の原因は「ウェブアプリケーションの脆弱性」が最も多く、この傾向は図 1-5 に示すように、届出受付開始から継続しています。また、図 1-6 に示すように、脅威については「任意のスクリプト実行」が半数近くを占めています。

16

それぞれの詳しい脆弱性の原因の説明については付表 1 を参照してください。

8

4%

ウェブアプリケーションの脆弱性

16%バッファのチェックの不備
仕様上の不備2%

ファイルのパス名、内容のチェックの不備

2%
(3%)
3%
(3%)
3%
(3%)

アクセス制御の不備
セキュリティコンテキストの適用の不備

64%
(66%)

6%
(6%)

その他実装上の不備
その他ウェブに関連する不備(963件の内訳、グラフの括弧内は前四半期までの数字)

図1-4.ソフトウェア製品の脆弱性の原因別内訳(届出受付開始から2010年9月末まで)
その他ウェブに関連する不備
その他実装上の不備
セキュリティコンテキストの適用の不備
アクセス制御の不備
ファイルのパス名、内容のチェックの不備
仕様上の不備
バッファのチェックの不備
ウェブアプリケーションの脆弱性

120件
100件
80件
60件
40件
20件
0件

3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q
2004
2005
2006
2007
2008
2009
2010

図1-5. ソフトウェア製品の脆弱性 原因別届出件数の推移(届出受付開始から2010年9月末まで)

8%

任意のスクリプトの実行

2%
2%
2%
3%
3%

情報の漏洩
任意のコードの実行
なりすまし
サービス不能

4%

46%
(47%)

5%
(5%)

任意のコマンドの実行
アクセス制限の回避
任意のファイルへのアクセス
データベースの不正操作

8%
(6%)

通信の不正中継
認証情報の漏洩

8%
(8%)

その他

9%
(10%)

(963件の内訳、グラフの括弧内は前四半期までの数字)

図1-6. ソフトウェア製品の脆弱性の脅威別内訳 (届出受付開始から2010年9月末まで)

9

1.4 ソフトウェア製品の脆弱性情報の調整および公表状況
JPCERT/CC は、表 1-1 に示す 2 種類の脆弱性関連情報について、日本国内の製品開発者等の関係者との調整、および海外 CSIRT の協力のもと海外の製品開発者との調整を行っています。これらの脆弱性関連情報に対する製品開発者の対応状況は、IPA と JPCERT/CC が共同運営している脆弱性対策情報ポータルサイト JVN（Japan Vulnerability Notes）において公表しています。
（URL： http://jvn.jp/ ）表 1-1．脆弱性関連情報の提供元別 脆弱性公表件数
情報提供元
今期
累計
国内の発見者から IPA に届出があったもの、および、製品開発者自身
9 件 435 件①
から自社製品の脆弱性、対策方法について届出を受けたもの② 海外 CSIRT 等と連携して公表したもの
32 件 529 件
合計
41 件 964 件（1）国内の発見者および製品開発者から届出があり公表した脆弱性
届出受付開始から今四半期までに届出のあったソフトウェア製品の脆弱性関連情報（表 1-1 の①）について、受理してから対応状況を JVN 公表するまでに要した日数を図 1-7 に示します。届出受付開始から各四半期末までの 45 日以内に公表される件数が 36%であり、徐々に割合が増えていますが、公表までに時間を要している割合が多い状況です。製品開発者は脆弱性を攻撃された場合の脅威を認識し、迅速な対策を講じる必要があります。
45 日以内の公表件数の割合
2008/3Q

2008/4Q

2009/1Q

2009/2Q

2009/3Q

2009/4Q

2010/1Q

2010/2Q

34%

34%

33%

34%

35%

35%

35%

36%

36% (45日以内の公表)

全体（435件)

～10日

35件

37件

40件

～10日

11～
20日

21～
30日

0%
10%
11日～20日

43件

109件

31～45日46～100日

20%
30%
40%
21日～30日 31日～45日

84件

28件

57件

101～200日

201～
300日

301日～

50%
60%
70%
46日～100日 101日～200日

80%
90%
201日～300日

100%
301日～

図1-7. ソフトウェア製品の脆弱性公表日数

表 1-2 に、国内の発見者、製品開発者から届出を受け、今四半期に公表した脆弱性を示します。製品開発者自身から届けられた自社製品の脆弱性が 1 件（表 1-2 の*1）ありました。
表 1-2. 2010 年 第 3 四半期 に JVN で公表した脆弱性

項番

脆弱性

セキュリティ上の問題点

JVN
公表日

CVSS
基本
値

脆弱性の深刻度=レベル III（危険）、CVSS 基本値=7.0～10.0

1「Microsoft Windows」 「Microsoft Windows」には、サービス運用妨害 (DoS) の2010 年におけるサービス運用 脆弱性がありました。このため、遠隔の第三者により細8 月 13
妨害 (DoS) の脆弱性 工されたパケットを送られることで、サービス不能状態
日になる可能性がありました。

10

7.8

項番

脆弱性

セキュリティ上の問題点

JVN
公表日

CVSS
基本
値

2

「Winny」におけるバッ ファイル交換ソフト「Winny」には、バッファオーバー2010 年
ファオーバーフローの フローの脆弱性があります。3 の問題とは異なります。
8 月 20
脆弱性
このため、第三者により、任意のコードを実行される可日能性があります。

7.5

3「Winny」におけるバッ ファイル交換ソフト「Winny」には、バッファオーバー2010 年
ファオーバーフローの フローの脆弱性があります。2 の問題とは異なります。
8 月 20
脆弱性
このため、第三者により、任意のコードを実行される可日能性があります。

7.5

脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.0～6.9
4「Winny」における
BBS 情報の処理に関する脆弱性

ファイル交換ソフト「Winny」には、BBS 情報の処理に 2010 年
関する脆弱性があります。このため、第三者による DDoS 8 月 20
攻撃に加担させられる可能性があります。
日5「Winny」におけるノー ファイル交換ソフト「Winny」には、ノード情報の処理
ド情報の処理に関する に関する脆弱性があります。このため、第三者による脆弱性
DDoS 攻撃に加担させられる可能性があります。

5.02010 年8 月 20日

5.0「SEIL/X シリーズ」お 「SEIL/X シリーズ」および「SEIL/B1」にはパケットの2010 年
6
よび「SEIL/B1」におけ 処理に関する脆弱性が存在しました。このため、意図し（*1）
8 月 25る IPv6 Unicast RPF ない通信が行われる可能性がありました。
（*2）
日
機能に関する脆弱性

4.3

7「moobbs」におけるク 電子掲示板ソフト「moobbs」には、ウェブページを出力
2010 年
ロスサイト・スクリプ する際のエスケープ処理に漏れがありました。このため、
8 月 31
ティングの脆弱性
第三者によりウェブページにスクリプトを埋め込まれる
日可能性がありました。

5.0

8「moobbs2」における 電子掲示板ソフト「moobbs2」には、ウェブページを出2010 年
クロスサイト・スクリ 力する際のエスケープ処理に漏れがありました。このた
8 月 31
プティングの脆弱性
め、第三者によりウェブページにスクリプトを埋め込ま日れる可能性がありました。

5.0

9

futomi's CGI Cafe 製 futomi's CGI Cafe 製アクセス解析ソフト「高機能アクセ「高機能アクセス解析 ス解析 CGI」には、解析タグの埋め込み方法に問題があ 2010 年
CGI」におけるクロスサ りました。このため、第三者によりウェブページにスク 9 月 10
イト・スクリプティン リプトを埋め込まれる可能性がありました。
日
グの脆弱性

4.3

（*1）：製品開発者自身から届けられた自社製品の脆弱性（*2）：組込みソフトウェアの脆弱性（2）海外 CSIRT 等と連携して公表した脆弱性
JPCERT/CC が海外 CSIRT 等と連携して今四半期に公表した脆弱性 32 件には、通常の脆弱性
情報 24 件（表 1-3）と、対応に緊急を要する Technical Cyber Security Alert（表 1-4）の 8 件が含まれます。これらの情報は、通常関連する登録済み製品開発者へ通知したうえ、JVN に掲載して
います。

11

表 1-3.米国 CERT/CC17等と連携した脆弱性関連情報および対応状況
項番

脆弱性

対応状況

1

libpng に脆弱性注意喚起として掲載

2

LibTIFF に脆弱性注意喚起として掲載

3

Cisco Industrial Ethernet 3000 シリーズに SNMP Community String が 注意喚起として掲載
ハードコードされている問題

4

ISC DHCP にサービス運用妨害 (DoS) の脆弱性

注意喚起として掲載

5

Microsoft Windows のショートカットファイルの処理に脆弱性

緊急案件として通知

6

OpenLDAP に複数の脆弱性

注意喚起として掲載

7

Apple Safari における複数の脆弱性に対するアップデート

注意喚起として掲載

8

Wind River Systems VxWorks の認証 API (loginLib) における問題

複数製品開発者へ通知

9Wind River Systems VxWorks においてデバッグサービスがデフォルトで 複数製品開発者へ通知
有効になっている問題

10

Wonderware Archestra ConfigurationAccessComponent ActiveX コント 注意喚起として掲載
ロールにおけるバッファオーバーフローの脆弱性

11

Oracle Siebel Option Pack for IE の ActiveX コントロールのメモリ初期 注意喚起として掲載
化処理に脆弱性

12

FreeType 2 における CFF フォントの処理に脆弱性

注意喚起として掲載

13

Adobe Flash の ActionScript の処理に脆弱性

緊急案件として通知

14Apple Quicktime に脆弱性注意喚起として掲載

15

Wyse ThinOS LPD サービスにバッファオーバーフローの脆弱性

注意喚起として掲載

16

Ghostscript の TrueType bytecode interpreter に脆弱性注意喚起として掲載

17

Windows プログラムの DLL 読み込みに脆弱性

注意喚起として掲載

18

Blackboard Transact データベースに情報漏えいの脆弱性

注意喚起として掲載

19

Apple Safari における複数の脆弱性に対するアップデート

注意喚起として掲載

20

Apple iOS における複数の脆弱性に対するアップデート

注意喚起として掲載

21

Adobe Flash に脆弱性緊急案件として通知

22Apple Quicktime における複数の脆弱性に対するアップデート

注意喚起として掲載

23

Devon IT 製品に複数の脆弱性

注意喚起として掲載

24

Adobe Reader および Acrobat にバッファオーバーフローの脆弱性

緊急案件として通知

表 1-4.米国 US-CERT18と連携した脆弱性関連情報および対応状況
項番

脆弱性

1

Microsoft 製品における複数の脆弱性に対するアップデート

2Oracle 製品における複数の脆弱性に対するアップデート

3

Microsoft 製品における複数の脆弱性に対するアップデート

4

Adobe Flash および AIR に脆弱性

5

Adobe Reader および Acrobat における複数の脆弱性に対するアップデート

6

Microsoft Windows における DLL 読み込みに関する脆弱性

7

Microsoft 製品における複数の脆弱性に対するアップデート

8

Adobe Flash に脆弱性

17
18

CERT/Coordination Center：1988 年のウイルス感染事件を契機に米国カーネギーメロン大学に設置された CSIRT。
United States Computer Emergency Readiness Team：米国の政府系 CSIRT。

12

2. ウェブサイトの脆弱性の処理状況の詳細
2.1 ウェブサイトの脆弱性の処理状況
ウェブサイトの脆弱性関連情報の届出について、処理状況を図 2-1 に示します。
図 2-1 に示すように、ウェブサイトの脆弱性について、今四半期中に処理を終了したものは 189
件（累計 4,756 件）でした。このうち、「修正完了」したものは 157 件（累計 3,209 件）、ウェブ
サイトが利用しているソフトウェア製品の修正プログラムが適用されていない問題について、IPAによる「注意喚起」で広く対策を促した後、処理を取りやめたものは 14 件（累計 1,130 件）、IPA
およびウェブサイト運営者が「脆弱性ではない」と判断したものは 12 件（累計 247 件）でした。
なお、メールでウェブサイト運営者と連絡が取れない場合は、電話や郵送手段で連絡を試みるな
どの対応をしていますが、それでも、ウェブサイト運営者と連絡が取れず「連絡不可能」なもの
は 1 件（累計 22 件）です。「不受理」としたものは 5 件（累計 148 件）でした。
取扱いを終了した累計 4,756 件のうち、「注意喚起」「連絡不可能」「不受理」を除く累計 3,456
件（73%）は、ウェブサイト運営者からの報告もしくは IPA の判断より指摘した点が解消されたことを確認しました。
「修正完了」したもののうち、ウェブサイト運営者が当該ページを削除することにより対応したものは 23 件（累計 312 件）、ウェブサイト運営者が運用により被害を回避しているものは 0 件（累計 21 件）でした。
2,877
2009年
9月末

11

328 191 124

2,223

合計 4,832

1,955

4,139
2009年
12月末

16
217 133

1,119

2,654

合計 4,959

820

4,390
2010年
3月末

1,116

2,886

19

708

229 140

合計 5,098

4,567
2010年
6月末

21
235 143

1,116

3,052
取扱い終了 4,756(189)

2010年
9月末

1,000

合計
5,218

22 ⑥取扱い中 合計
148 535
5,291①修正完了 3,209

0651②注意喚起 1,130 247

2,000

3,000

4,000

5,000

①‐c運用で回避

21 (0)

312 (23)②

1,130 (14)417

③ 247(12)①‐a修正済み④ 22 (1)2,876 (134)⑤ 148 (5)

括弧内の数字は今四半期に処理を終了した件数①修正完了(①‐a＋①‐b＋①‐c)=3,209(157)

2010年9月末 取扱い終了の内訳①修正完了-a 修正済み-b 該当ページを削除-c 運用で回避②注意喚起③脆弱性ではない④連絡不可能⑤不受理⑥取扱い中： ウェブサイト運営者により脆弱性が修正されたもの：
修正完了のうち、修正されたと判断したもの：
修正完了のうち、当該ページを削除して対応したもの：
修正完了のうち、運用により被害を回避しているもの： IPA による注意喚起で広く対策を促した後、処理を取りやめたもの： IPA およびウェブサイト運営者が脆弱性はないと判断したもの： ウェブサイト運営者からの回答がなく、取扱いができないもの： 告示で定める届出の対象に該当しないもの： ウェブサイト運営者が調査、対応中のもの

図 2-1.ウェブサイト各時点における脆弱性関連情報の届出の処理状況
13

2.2 ウェブサイトの脆弱性の種類と脅威届出受付開始から今四半期までに IPA に届出のあったウェブサイトの脆弱性関連情報 5,291 件のうち、不受理のものを除いた 5,143 件について、種類別内訳を図 2-2 に、種類別の届出件数の推移を図 2-3 に、脅威別内訳を図 2-4 に示します19。
8%

クロスサイト・スクリプティング

2%
DNS情報の設定不備

2%

(2%)

3%
(3%)

SQLインジェクションHTTPSの不適切な利用

44%
(44%)

15%
(15%)

ファイルの誤った公開
HTTPレスポンス分割
その他

26%
(26%)

(5,143件の内訳、グラフの括弧内は前四半期までの数字)

図2-2.ウェブサイトの脆弱性の種類別内訳 (届出受付開始から2010年9月末まで)

1,400

その他
HTTPレスポンス分割

1,200

ファイルの誤った公開
HTTPSの不適切な利用

1,000

SQLインジェクション
DNS情報の設定不備
クロスサイト・スクリプティング

800

600

400

200

0
3Q 4Q 1Q 2Q
2004
2005

3Q

4Q

1Q 2Q
2006

3Q

4Q

1Q 2Q
2007

3Q

4Q

1Q 2Q
2008

3Q

4Q

1Q 2Q
2009

3Q

4Q

1Q 2Q
2010

3Q

図2-3.ウェブサイトの脆弱性 種類別届出件数の推移 (届出受付開始から2010年9月末まで)

19

それぞれの脆弱性の詳しい説明については付表 2 を参照してください。

14

2%
3%
4%
(4%)
4%
(4%)

2%

2%

2%

本物サイト上への偽情報の表示
ドメイン情報の挿入
データの改ざん、消去
個人情報の漏洩40%(40%)

Cookie情報の漏洩

15%
(15%)

サーバ内ファイルの漏洩
利用者のセキュリティレベルの低下
なりすまし
ウェブキャッシュ情報のすり替え
その他

26%
(26%)

(5,143の内訳、グラフの括弧内は前四半期までの数字)

図2-4.ウェブサイトの脆弱性の脅威別内訳 (届出受付開始から2010年9月末まで)
届出の多い「クロスサイト・スクリプティング」「DNS 情報の設定不備」「SQL インジェクション」だけで全体の 85%を占めています（図 2-2）。2008 年第 3 四半期から 2009 年第 3 四半期にかけて多く届出のあった「DNS 情報の設定不備」は、今四半期は届出がありませんでした（図 2-3）。
また「クロスサイト・スクリプティング」「DNS 情報の設定不備」「SQL インジェクション」などにより発生する、「本物サイト上への偽情報の表示」「ドメイン情報の挿入」「データの改ざん、消去」「Cookie 情報の漏洩」が脅威別内訳の 85%を占めています（図 2-4）。

2.3 ウェブサイトの脆弱性の修正状況
届出受付開始から今四半期までの届出の中で、修正完了したもの 3,209 件について、ウェブサ
イト運営者に脆弱性の詳細情報を通知してから修正されるまでに要した日数およびその傾向を、
脆弱性の種類別に図 2-5 および図 2-6 に示します20。全体の 48%の届出が 30 日以内、全体の 67%の届出が 90 日以内に修正されています。
90 日以内の修正件数の割合
2008/1Q
77%

20

2Q
81%

3Q
80%

4Q
83%

2009/1Q
80%

2Q
79%

3Q
79%

4Q
72%

2010/1Q
70%

2Q
68%

3Q
67%

運営者から修正完了の報告があったもの、および、脆弱性が修正されたと IPA で判断したものも含めて示しています。
なお、0 日は詳細情報を通知した当日に修正されたもの、または運営者へ詳細情報を通知する前に修正されたものです。

15

67%(90日以内の修正)
450

その他(267件)

400

ディレクトリ・トラバーサル(58件)350

HTTPレスポンス分割(90件)

ファイルの誤った公開(85件)
SQLインジェクション(515件)

300

DNS情報の設定不備(516件)
クロスサイト・スクリプティング(1,678件)

250
200
150
100
50
0
0日

1日

2日

3日

4日
6日
11日
21日
31日
51日
91日 201日 301日～～5日 ～10日 ～20日 ～30日 ～50日 ～90日 ～200日 ～300日

図2-5.ウェブサイトの修正に要した日数

クロスサイト・スクリプティング( 1,678件)

DNS情報の設定不備(516件)

SQLインジェクション(515件)

HTTPレスポンス分割(90件)

ファイルの誤った公開(85件)

ディレクトリ・トラバーサル(58件)

その他(267件)

0%～10日

11日～20日

21日～30日

20%
31日～50日

40%

60%

80%

51日～90日

91日～200日

201日～300日

図2-6.ウェブサイトの修正に要した脆弱性種類別の日数の傾向

16

100%
301日～

3. 関係者への要望
脆弱性の修正を促進していくための、各関係者への要望は以下のとおりです。

（1）ウェブサイト運営者
多くのウェブサイトで利用しているソフトウェアに脆弱性が発見されています。自身のウェブ
サイトでどのようなソフトウェアを利用しているかを把握し、脆弱性対策を実施することが必要です。
なお、脆弱性の理解にあたっては、以下のコンテンツが利用できます。
「知っていますか？脆弱性（ぜいじゃくせい）」： http://www.ipa.go.jp/security/vuln/vuln_contents/「安全なウェブサイト運営入門」： http://www.ipa.go.jp/security/vuln/7incidents/
また、対策にあたっては、以下のコンテンツが利用できます。
「安全なウェブサイトの作り方」：http://www.ipa.go.jp/security/vuln/websecurity.html「安全な SQL の呼び出し方」：http://www.ipa.go.jp/security/vuln/websecurity.html（2）製品開発者
JPCERT/CC は、ソフトウェア製品の脆弱性関連情報について、「製品開発者リスト」に基づき、一般公表日の調整等を行います。迅速な調整を進められるよう、「製品開発者リスト」へ登録ください（URL：https://www.jpcert.or.jp/vh/ ）。また、製品開発者自身が自社製品に関する脆弱性関連情報を発見した場合も、対策情報を利用者へ周知するために JVN を活用できます。JPCERT/CC
もしくは IPA へ連絡してください。
なお、製品開発にあたっては、以下のコンテンツもご活用ください。
「TCP/IP に係る既知の脆弱性検証ツール」：
http://www.ipa.go.jp/security/vuln/vuln_TCPIP_Check.html「TCP/IP に係る既知の脆弱性に関する調査報告書」：
http://www.ipa.go.jp/security/vuln/vuln_TCPIP.html「組込みシステムのセキュリティへの取組みガイド（2010 年度改訂版）」：
http://www.ipa.go.jp/security/fy22/reports/emb_app2010/（3）一般インターネットユーザ
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がける必要があります。脆弱性があるソフトウェアを使い続けることは避けなければなりません。
なお、My JVN（URL：http://jvndb.jvn.jp/apis/myjvn/）では脆弱性対策情報を効率的に収集し、利用者の PC 上にインストールされたソフトウェア製品のバージョンを容易にチェックする等の機能を提供していますので、ご活用ください。

（4）発見者
脆弱性関連情報の適切な流通のため、届出た脆弱性関連情報は、脆弱性が修正されるまでの期
間は第三者に漏れぬよう、適切に管理してください。

17

付表 1. ソフトウェア製品 脆弱性の原因分類
脆弱性の原因説明

届出において想定された脅威1

設定情報の漏洩通信の不正中継
ア ク セ ス 制 御 の 不 アクセス制御を行うべき個所において、なりすまし
備
アクセス制御が欠如している
任意のスクリプトの実行
認証情報の漏洩2

アクセス制限の回避
価格等の改ざん
サービス不能
資源の枯渇
ウェブアプリケーションに対し、入力さ重要情報の漏洩れた情報の内容の解釈や認証情報の取情報の漏洩
ウ ェ ブ ア プ リ ケ ー 扱い、出力時の処理に問題がある。「クセッション・ハイジャック
ションの脆弱性
ロスサイト・スクリプティング」攻撃や通信の不正中継「SQL インジェクション」攻撃などになりすまし利用されてしまう
任意のコマンドの実行
任意のスクリプトの実行
任意のファイルへのアクセス
認証情報の漏洩3

仕様上の不備4

ウェブブラウザやメールクライアント
ソフトに証明書を検証する機能が実装
証明書の検証に関証明書の確認不能されていない、または、検証が正しく行
する不備
なりすまし
われずに、偽の証明書を受けいれてしまう5

本来、厳しい制限のあるセキュリティコ アプリケーションの異常終了
セキュリティコン
ンテキストで取り扱うべき処理を、緩い 情報の漏洩
テキストの適用の制限のセキュリティコンテキストで処 任意のコードの実行
不備
理してしまう任意のスクリプトの実行

6

想定外の長さの入力が行われた場合に、サービス不能バ ッ フ ァ の チ ェ ッ 長さをチェックせずバッファに入力し任意のコードの実行
クの不備てしまう。「バッファオーバーフロー」
任意のコマンドの実行攻撃に利用されてしまう

7

処理の際のパラメータとして指定されているディレクトリ名やファイル名、ファイルの内容をチェックしていない。任 アプリケーションの異常終了
ファイルのパス名、 意のディレクトリのファイルを指定で サービス不能
内 容 の チ ェ ッ ク の きてしまい、「ディレクトリ・トラバー 資源の枯渇
不備
サル」攻撃に利用されてしまう。また、 任意のファイルへのアクセス破損したファイルや不正に書き換えら 認証情報の漏洩れたファイルを処理した際に不具合が生じる

RFC 等の公開された規格に準拠して、 サービス不能
設計、実装した結果、問題が生じるもの 資源の枯渇

18

付表 2 ウェブサイト脆弱性の分類
脆弱性の種類

深刻度

説明

届出において想定された脅威高個人情報の漏洩
一般に公開すべきでないファイルが公開さ サーバ内ファイルの漏れており、自由に閲覧できる状態になって 洩いる
データの改ざん、消去
なりすまし

2

パス名パラメータの未チェック

高ユーザからの入力を処理する際のパラメー
タとして指定されているファイル名を、ユ サーバ内ファイルの漏ーザが変更し、ウェブサーバ上の任意のデ 洩ィレクトリのファイルを指定できてしまう

3

ディレクトリ･トラバーサル

高ウェブサーバ上のディレクトリのアクセス 個人情報の漏洩権を超えて、本来許可されている範囲外の サーバ内ファイルの漏
ディレクトリにアクセスできる洩

4

セッション管理の不備高セッション管理に、推測可能な情報を使用
Cookie 情報の漏洩しているため、他のユーザの情報が容易に
個人情報の漏洩
推測でき、他のユーザになりすまして、サ
なりすましービスを利用することができる

5

SQL インジェクション

高

個人情報の漏洩
入力フォームなどへ SQL コマンド（データサーバ内ファイルの漏
ベースへの命令）を入力し、データベース
洩
内の情報の閲覧、更新、削除などができる
データの改ざん、消去

6

DNS 情報の設定不備

高

DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名の持ち主 ドメイン情報の挿入
であるかのようにふるまえてしまう中

外部の第三者により、他のサーバへのアクセスを中継するサーバとして利用され、不踏み台
正アクセスなどの際にアクセス元を隠すた
めの踏み台にされてしまう中

Cookie 情報の漏洩
サーバ内ファイルの漏
ユーザの Cookie 情報を知らないうちに転 洩送させたり、偽の情報を表示させたりする 個人情報の漏洩
ような罠のリンクをユーザにクリックさ データの改ざん、消去
せ、個人情報等を盗むことができる
なりすまし
本物サイト上への偽情報の表示

中ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそかにア
データの改ざん、消去
クセスさせ、登録情報の変更や商品の購入をさせることができる

中

攻撃者がユーザに対し、悪意のある要求をウェブサーバに送信するように仕向けるこ
ウェブキャッシュ情報とで、ウェブサーバからの応答を分割させのすり替えて応答内容をすり替え、ユーザに対して偽のページを表示させることができる

中

ユーザに対し、ソフトウェアをインストー
ルさせたり、ブラウザのセキュリティレベ 利用者のセキュリティ
ルを下げるよう指示することでクライアン レベルの低下
ト PC のセキュリティ設定を低下させる

中

ウェブサーバに設置したリダイレクタが悪踏み台
意あるリンクへの踏み台にされたり、その本物サイト上への偽情
ウェブサイト上で別のサイト上のページを報の表示表示させられてしまう

1

ファイルの誤った公開7

オープンプロキシ

8

クロスサイト･
スクリプティング

9

クロスサイト・リク
エスト・フォージェ
リ

10

HTTP レスポンス分
割

セキュリティ設定の11
不適切な変更リダイレクタの不適
12
切な利用

19

脆弱性の種類

13

14

深刻度

フィルタリングの回避OS コマンド・インジ
ェクション

15 メールの第三者中継

16

HTTPS の 不 適 切 な
利用

17 価格等の改ざん

届出において想定された脅威説明中

ウェブサイトのサービスやブラウザの機能として提供されているフィルタリング機能 利用者のセキュリティが回避される問題。これにより、本来制限 レベルの低下されるはずのウェブページを閲覧してしま なりすましう

中

攻撃者がウェブアプリケーションを介してウェブサーバの OS コマンドを実行できてしまい、サーバ内ファイルの閲覧やシステ 任意のコマンドの実行
ム操作、不正なプログラムの実行などを行
われてしまう低利用者が入力した内容を管理者が指定した
メールアドレスに送信する機能で、外部のメールシステムの不正利用者が宛先メールアドレスを自由に指定利用できてしまい、迷惑メール送信の踏み台に
悪用される

低

HTTPS による暗号化をしているが、暗号の選択や設定が十分でなかったり、ウェブサ
イトでのユーザへの説明に間違いがある、 なりすまし
または、ウェブサイトの設計上、ユーザから証明書が確認できない

低ショッピングサイトにおいて、価格情報等
が利用者側で書き換えられる。書き換えに データの改ざんよる被害は、ウェブサイト側に限定される

・API: Application Program Interface

・RFC: Request For Comments

・CGI: Common Gateway Interface

・SQL: Structured Query Language

・DNS: Domain Name System

・SSI: Server Side Include

・HTTP: Hypertext Transfer Protocol

・SSL: Secure Socket Layer

・HTTPS: Hypertext Transfer Protocol Security

・TCP: Transmission Control Protocol

・URI: Uniform Resource Identifier・URL: Uniform Resource Locator・ISAKMP : Internet Security Association
・MIME

Key Management Protocol: Multipurpose Internet Mail Extension

付図１．「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み）
脆弱性関連情報流通体制

ユーザ
ユーザー
脆弱性関連
情報届出

ソフトウェア
製品の脆弱性

脆弱性関連
情報通知

脆弱性関連情報の報告された脆弱性
内容確認・検証
関連情報の内容確認

発見者
W e b サイトの脆弱性

受付・分析機関
受付機関
報告された

調整機関

ソフト
開発者等

分析支援機関【期待効果】

脆弱性対策情報ポータル

公表日の決定、
海外の調整機関
との連携等

対応状況等
対応状況
対策方法等
公表公表

システム導入
支援者等

政府
企業
個人

セキュリティ対策推進協議会等

分析機関
脆弱性関連
情報届出

対策情報ポータル

対応状況の集約、
公表日の調整等

産総研など報告された脆弱性
脆弱性関連情報通知
脆弱性関連情報通知
関連情報の検証W e b サイト運営者

Webサイト運営者
検証、対策実施
検証、対策実施

個人情報の漏えい時は事実関係を公表
個人情報漏洩時は事実関係を公表①製品開発者及びウェブサイト運営者による脆弱性対策を促進②不用意な脆弱性関連情報の公表や脆弱性の放置を抑制③個人情報等重要情報の流出や重要システムの停止を予防※IPA：独立行政法人 情報処理推進機構、JPCERT/CC：一般社団法人 JPCERT コーディネーションセンター、産総研：独立行政法人 産業技術総合研究所

20