プレスリリース
2004 年 10 月 18 日
独立行政法人 情報処理推進機構
有限責任中間法人 JPCERT コーディネーションセンター

ソフトウエア等の脆弱性関連情報に関する届出状況 [2004 年第 3 四半期（7 月〜9 月）]
独立行政法人 情報処理推進機構（略称：IPA）及び有限責任中間法人 JPCERT コーディネーションセンター(略称：JPCERT/CC)は、2004 年第 3 四半期（7 月〜9 月）の脆弱性関連情報届出状況を、以下のとおり、とりまとめました。
経済産業省告示「ソフトウエア等脆弱性関連情報取扱基準」（平成 16 年経済産業省告示 第 235 号）に基づき、IPA は 2004 年 7 月 8 日より脆弱性関連情報の届出の受付を開始し、JPCERT/CC は日本国内の製品開発者などの関連組織との調整を行いました。ソフトウエア製品の脆弱性については、19 件の届出のうち、3 件について製品開発者による対策が完了し、公表されました。このうちの 1 件は、JPCERT/CC が海外 CSIRT1と連携し、海外の製品開発者も含めて調整をしたものです。ウェブアプリケーションの脆弱性については、73 件の届出のうち、10 件について修正が完了しました。

1. 届出件数
2004 年 7 月 8 日から 9 月 30 日までの IPA への脆弱性関連情報の届出件数は、総計 92 件（ソフトウエア製品に関するもの 19 件、ウェブアプリケーションに関するもの 73 件）でした。月別の届出状況を
表 1-1 に示します。
表 1-1 脆弱性関連情報の月別の届出状況
2004 年7月

2004 年8月

2004 年9月

ソフトウエア製品に関する届出7７519

ウェブアプリケーションに関する届出

17362073

合計

24432592合計（1） ソフトウエア製品の脆弱性
ソフトウエア製品の脆弱性については、対策を終了し公表されたものが 3 件、製品開発者により脆弱性ではないと判断されたものが 1 件あります。また、告示で定める届出の対象に該当せず、取扱い対象外としたものが 3 件あります。この 3 件の内訳は、製品の仕様であり脆弱性ではないと判断されたものが2 件、届出時に公知の情報だったものが 1 件となっています。
（2） ウェブアプリケーションの脆弱性
ウェブアプリケーションの脆弱性については、修正を完了したものが 10 件、脆弱性を運用で回避した
ものが 4 件、ウェブサイト運営者により脆弱性はないと判断されたものが 5 件あります。取扱い対象外としたものの内訳は、届出時に既に修正済みであったものが 1 件、日本国内からのアクセスを想定したウェブサイトでないものであったものが 3 件でした。このほか、16 件が、ウェブサイト運営者と連絡が取れず、取扱いができない状態（取扱い不能）となっています。
1

Computer Security Incident Response Team の略であり、コンピュータセキュリティに関するインシデント（事故）への対応や調整、サポートをするチームのことです。
1

届出の取扱い状況を図 1-1 に示します。
対策終了 脆弱性ではない
ソフトウエア製品
3 1

取扱い中
12

脆弱性ではない
ウェブアプリ 修正完了
ケーション
100510

取扱対象外

3
運用で回避取扱対象外取扱い中
34420304050

取扱い不能
1646070件

図 1-1 脆弱性関連情報の届出の取扱い状況

2. ソフトウエア製品の脆弱性関連情報の届出
JPCERT/CC が日本国内の製品開発者などの関連組織との調整を行ない、公表した脆弱性関連情報は 7 件です。このうち、IPA への届出により手続きを開始した脆弱性関連情報は 3 件であり、そのうちの 1 件である「SSL-VPN 製品における Cookie の脆弱性」については、海外 CSIRT とのパートナーシップに基づき、海外開発者も含めて調整しました。これは、企業内システムを社員が外出先からインターネット経由で利用できるようにする VPN (Virtual Private Network)を、従来よりも手軽に実現するものとして近年注目を浴びてきた「SSL-VPN」製品に対し、その使い方によっては、必ずしも VPN ほどの堅牢な安全性が確保されるとは限らないことが指摘されたものです。一部の製品には、一般的なウェブアプリケーションにみられる脆弱性と同種の欠陥を有するものがあり、パケット盗聴によるセッションハイジャック攻撃を許してしまうものがありました。
他の 4 件は、海外 CSIRT からの脆弱性情報について JPCERT/CC が日本国内の製品開発者との調整を行ったものです。
製品開発者の対応状況は、IPA と JPCERT/CC が共同運営している対策情報ポータルサイトである
JP Vendor status Notes（JVN）において公開しています。（URL： http://jvn.jp/）
表 2-1 に、IPA に届出があり、対策が完了し公表した脆弱性を示します。
取扱い対象の届出 16 件のうち、複数の製品開発者のソフトウエア製品に影響がある脆弱性の届出は 2 件あり、これらは、JPCERT/CC が複数の製品開発者に対して調整を行いました。特定製品の脆弱性関連情報の届出は 14 件であり、アンチウイルスソフトやメールソフトなどのクライアント製品が多くありました。また、情報家電において、アクセス制御機能が適切に機能していない問題も 1 件ありました。特定製品の脆弱性の製品種類別の内訳を図 2-1 に示します。

2

表 2-1 対策が完了した届出
1

種類
SSL-VPN 製品における Cookie の脆弱性

2

desknet's の脆弱性

3

ウィルスバスター
コーポレートエディ
ションの脆弱性

脆弱性の概要SSL-VPN 製品について、SSL のクライアント認証を使用せずに、ユーザ名とパスワードでログインするモードを使用している
場合に、Cookie 情報が漏洩し、セッションハイジャックされる可能性があります。これは、複数製品に関わる脆弱性であり、海外製品開発者も含めて調整されました。
株式会社ネオジャパンのウェブグループウェアである desknet'sに関して、ユーザが悪意のあるスクリプトを含んだ HTML メールやインフォメーション（掲示板に相当する機能）を参照した場合に、スクリプトが実行されます。結果として、Cookie 情報（設定によっては ID やパスワードを含む）の漏洩によるなりすましや個人情報の漏洩などが発生する可能性があります。
トレンドマイクロ株式会社の企業向け総合セキュリティ対策ソフト
ウエアであるウィルスバスターコーポレートエディションに関して、管理コンソールに問題があり、特定の URL を指定するとOPP.ini ファイル(Outbreak Prevent Policy の設定ファイル)を閲覧できます。

7%

7%

14%
21%

14%

図 2-1

2004 年
9 月 24 日

2004 年
9月3日

アンチウイルスソフト
メールソフトグループウェア
OS
システム管理ソフト
ショッピングカート
情報家電

30%

7%

JVN 公表日2004 年9 月 30 日

ソフトウエア製品種類別の届出内訳

3. ウェブアプリケーションの脆弱性関連情報の届出
ウェブアプリケーションについては、19 件の届出について取扱い終了しました。内訳としては、修正を完了したものが 10 件、脆弱性を運用で回避しているものが 4 件、ウェブサイト運営者により脆弱性が存在しないと判断されたものが 5 件です。修正や回避等により、最終的に脆弱性に対処したものは 19 件中14 件ですが、取扱い中のものにも、修正完了の報告を受け IPA による修正確認中のものが 4 件あります。
修正された届出の脆弱性の種類別の修正件数および修正に要した日数を表 3-1 に示します。
表 3-1 脆弱性の種類別の修正件数および修正日数
脆弱性件数

修正日数

クロスサイト・スクリプティング（第三者へのスクリプト実行）9

平均 15 日パス名パラメータの未チェック（フォーム入力値の改ざん）

3

当日、3 日、16 日

ファイルの誤った公開

1

21 日

SQL インジェクション（データベースへの不正な入力）

139 日

3

脆弱性の種類別内訳を図 3-1 に、想定される脅威別内訳を図 3-2 に示します。脆弱性の種類は、「クロスサイト・スクリプティング2」が最も多く、ユーザからの入力を十分にチェックしていないウェブサイトが多いことがわかります。次いで「パス名パラメータの未チェック」が多くなっていますが、これは、あるウェブアプリケーション部品が多くのウェブサイトで使用されていたことによります。
脆弱性から想定される脅威は、「サーバ内ファイルの漏洩」が最も多く、次いで「Cookie3情報の漏洩」でした。利用者の識別に Cookie 情報が使われている場合には、Cookie 情報の漏洩により、なりすましや個人情報漏洩につながる可能性があります。また、ファイルの誤った公開の脆弱性がある場合には、多数の個人情報が一度に漏洩する可能性がありますし、セッション管理の不備の脆弱性がある場合には、個人情報などを含む Web ページが第三者に閲覧されてしまう可能性があります。
実際に、修正が完了した 2 件のウェブサイトからも、個人情報が漏洩する可能性があった、との報告がありました。

3%

1%

1%

1%
1%

3%
4%

37%

15%

34%

図 3-1

クロスサイト・スクリプティング
パス名パラメータの未チェック
価格等の改ざん
ファイルの誤った公開セッション管理の不備
SQLコマンドインジェクション
メールの第三者中継
ディレクトリ・トラバーサル
初期パスワードの不備
その他

ウェブアプリケーションに関する脆弱性関連情報の届出の種類別内訳

1%
1%

サーバ内ファイルの漏洩

7%
40%

16%

Cookie情報の漏洩
データの改ざん、消去
個人情報の漏洩
本物サイト上への偽情報の表示

35%

図 3-2

2

第三者へのDoS攻撃

ウェブアプリケーションに関する脆弱性関連情報の届出の脅威別内訳

脆弱性の説明については付録を参照してください。
ウェブサーバが発行し、ウェブブラウザに預ける小さなテキストデータです。いったん Cookie を預かったウェ
ブブラウザは、それを発行したウェブサーバのコンテンツにアクセスする際、預かった Cookie のデータをコンテンツの要求に必ず含めるようになります。
43

4. 皆様へのお願い
届出の受付開始から約 3 ヶ月が経過しましたが、脆弱性の修正をより強く促進していくために、関係者の皆様に、以下のとおり、ご協力をお願いします。
z

ウェブサイト運営者の皆様へ
ウェブアプリケーションの作成にあたっては、入力フォーム等へのユーザからの入力に対してスクリプトや命令が含まれていないか、想定外のパス名が与えられる可能性がないかを十分にチェックするか、もしくは適切なエスケープ処理を施すように設計してください。
IPA からの連絡はウェブサイトに記載のある窓口に対して、電子メールまたは電話で行っています。本制度の趣旨をご理解のうえ、窓口の明確化および連絡があった場合のご協力をお願いします。IPA からの連絡について、本当に IPA からの連絡かどうか等の疑問を感じられた場合は、メール（vuln-inq@ipa.go.jp）もしくは電話（03-5978-7527）にて、ご連絡ください。

z

製品開発者の皆様へ
JPCERT/CC は、ソフトウエア製品の脆弱性関連情報について、整備している「製品開発者リスト」に基づき、一般公表日の調整等を行います。迅速な調整を進められるよう、「製品開発者リスト」への登録にご協力ください。（URL：http://www.jpcert.or.jp/）z

脆弱性を発見された皆様へ
脆弱性を発見した場合は、匿名掲示板などに書き込むことは避け、この届出制度を利用してください。また、届け出た情報は、その脆弱性に関する情報が悪意のある者に利用されることを避けるため、開発者等により対策情報が公表されるまで、公表しないよう、お願いします。

z

一般インターネットユーザの皆様へ
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がけてください。

■ お問い合わせ先
独立行政法人 情報処理推進機構 セキュリティセンター
Tel:03-5978-7527 Fax:03-5978-7518
E-mail: vuln-inq@ipa.go.jp
有限責任中間法人 JPCERTコーディネーションセンター
Tel:03-3518-4600
E-mail: office@jpcert.or.jp

5

プレスリリース付録

付表 ウェブアプリケーション脆弱性の分類

脆弱性の種類ファイルの誤った公開

パス名パラメータの未チェック

深刻度

高

説明

サーバ内ファイルのされており、自由に閲覧できる状態にな漏洩っている

個人情報の漏洩

メータに、ウェブサーバ上の任意のディレクトリのファイルを指定できてしまう
ウェブサーバ上のディレクトリのアクセス

ディレクトリ･トラバーサル

高権を超えて、本来許可されている範囲外のディレクトリに相対的にアクセスできる

セッション管理の不備

SQL コマンドインジェクション
クロスサイト･スクリプティング

メールの第三者中継

高高

中

低

想定された脅威

一般に公開すべきでないファイルが公開パス名（ファイル名）を指定する CGI パラ
高届出においてサーバ内ファイルの漏洩
サーバ内ファイルの漏洩

セッション管理用のパラメータにおいて、個人情報の漏洩

秘密情報が含まれておらず、容易に予権限の無い者による測ができる

サービス利用

入力フォームへ SQL コマンド（データベサーバ内ファイルのースへの命令）を入力し、実行させること漏洩ができる

データの改ざん、消去

悪意のあるスクリプトをウェブサイトへのCookie 情報の漏洩

入力中に記述し、第三者に対し悪意の本物サイト上への偽ある行為を仕掛けることができる

情報の表示

他人のメールサーバを用いて、メールを送信することができる

第三者への DoS 攻撃

認証に使用するために、管理者が発行
初期パスワードの不備

低したユーザ ID や初期パスワードが、単個人情報の漏洩純であり推測が容易である
価格等の改ざん低ショッピングサイトにおいて、価格情報等が利用者側で改ざんできる

6

データの改ざん、消去