プレスリリース
2008 年 7 月 15 日
独立行政法人 情報処理推進機構
有限責任中間法人 JPCERT コーディネーションセンター

ソフトウェア等の脆弱性関連情報に関する届出状況 [2008 年第 2 四半期(4 月～6 月)]
独立行政法人 情報処理推進機構（略称：IPA、理事長：西垣 浩司）および有限責任中間法人JPCERTコーディネーションセンター（略称：JPCERT/CC、代表理事：歌代 和正）は、2008 年第 2 四半期（4 月～6 月）の脆弱性関連情報の届出状況 1 をまとめました。
2008 年第 2 四半期（2008 年 4 月 1 日から 6 月 30 日ま

表 1. 2008 年第 2 四半期の届出件数

で）の IPA への脆弱性関連情報の届出件数は、ソフトウェ
ア製品に関するもの 69 件、ウェブアプリケーション（ウェブサイト）に関するもの 208 件、合計 277 件でした。
届出受付開始（2004 年 7 月 8 日）からの累計は、ソフト

分類

届出件数

累計件数

ソフトウェア製品

69 件

748 件

ウェブサイト208 件

1,575 件

277 件

2,323 件計

ウェア製品に関するもの 748 件、ウェブサイトに関するもの 1,575 件、合計 2,323 件で、ウェブサイトに関する届出が全体の 3 分の 2 を占めています（表１）。
届出が年々増加しており、届出受付開始（2004 年 7 月 8 日）から各四半期末までの業務日 1 日あたりの届出件数が、今四半期で 2.38 件となりました（図 1）。特に、2008 年第 1 四半期からウェブサイトに関する届出が増加しています。
ウェブサイトの脆弱性で 90 日以上も対策が完了していないものが、図 8（5 ページ）に示すように、
前四半期から 28 件増加し 136 件となりました。SQL インジェクションのように、深刻度の高い脆弱性でも修正が長期化しているものがあります。図 9（5 ページ）に示すように、IPA の調査事例でも 2008
年 4 月以降の SQL インジェクション攻撃が激増しています。SQL インジェクション攻撃が成功すると、情報の改ざん、消去、漏えいなどの深刻な被害を招く危険性があります。ウェブサイト運営者は脆弱性を攻撃された場合の脅威を認識し、早期に対策を講じる必要があります。
就業日 1 日あたりの届出件数（届出受付開始から各四半期末時点）
2005/1Q

2006/1Q

2007/1Q

2007/2Q

2007/3Q

2007/4Q

2008/1Q

2008/2Q

1.45

1.61

1.95

1.98

2.03

2.05

2.24

2.38

400
ソフトウェア製品に関する届出
ソフトウェア製品に関する届出（累計）350

ウェブサイトに関する届出
ウェブサイトに関する届出（累計）

300
250

四 200
半
150
期
100
件
数 50
0

661 749

845

940

1,043

2,000

1,575

1,367
1,123

679
560 626

1,750
1,500
1,250

748

1,000

累
計
428
500
277 379
303
264
件
178
140 211
143
250
244
100
46 95 49103 66 80 53
69 20846 67
数43 55 35 73 86 57 39 97 12588 37 96
434 507564

465 511

19 73 14 67 13 71 21 66 33102

750

0

3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q
2004 2004 2005 2005 2005 2005 2006 2006 2006 2006 2007 2007 2007 2007 2008 2008

図１.脆弱性関連情報の届出件数の四半期別推移
1

ソフトウェア等の脆弱性関連情報に関する届出制度：経済産業省告示に基づき、2004 年 7 月より開始しました。
IPA は届出受付・分析、JPCERT/CC は国内の製品開発者などの関連組織との調整を行っています。

1

1.脆弱性の取扱い概況

表 2．2008 年第 2 四半期の取扱い件数

2008 年第 2 四半期の脆弱性の取扱い状況は、

分類

ソフトウェア製品に関して届出が 69 件あり、取

状況

件数

届出

扱い終了 2 が 23 件のため、取扱中が 46 件増加
して累計 320 件となりました。ウェブサイトに

ソフトウェア製品 取扱い終了

累計件数

69 件

748 件

23 件

428 件

関しては、届出が 208 件あり、取扱い終了 3 が

取扱い中

46 件

320 件

185 件のため、取扱中が 23 件増加して累計 350

届出

208 件

1,575 件

取扱い終了

185 件

1,225 件

取扱い中

23 件

350 件

件となりました（表 2）。

ウェブサイト図 2 は、ソフトウェア製品に関して各四半期に届出のあったものの現在の取扱い状況です。

例えば、2006 年第 2 四半期に届出のあった 86 件は、50 件の取扱いを終了しましたが 36 件は取扱い中です。また、2006 年第 3 四半期に届出のあった 39 件は、23 件の取扱いを終了しましたが 16 件は取扱い中です。
このように、ソフトウェア製品に関しては、2006 年に届出られたものでも、今だ 36%が取扱い中のままです。2007 年に届出られたものは、52%が取扱い中のままです。ソフトウェア製品開発者は、脆弱性を攻撃された場合の顧客システムへの影響の重大さを認識し、早期に対策を講じる必要があります。
140

取扱い終了

120

件
数

取扱い中

100

81

80

6

60
40
20
0

50

24
25

25

18

63
23
32 27
22
29
44
35
36 16
11 12 2119
15 21 24 42
11
8
4
3
1
3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q
2004 2004 2005 2005 2005 2005 2006 2006 2006 2006 2007 2007 2007 2007 2008 2008

図２．ソフトウェア製品に関して各四半期に届出のあったものの現在の状況
ウェブサイトに関しては 2007 年に届出られたものの 21%が取扱い中のままです（図 3）。ウェブサ
イト運営者は、脆弱性を攻撃された場合の重大さを認識し、早期に対策を講じる必要があります。

件
数

250

取扱い終了

200

取扱い中
145

67

150
100
50
0

100

94

80

84

78

81

52

141

99
49 69 54
28
22
17
12
8
6
4
4
3
3
2
1
3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q
2004 2004 2005 2005 2005 2005 2006 2006 2006 2006 2007 2007 2007 2007 2008 2008
73

67

70

62

図３．ウェブサイトに関して各四半期に届出のあったものの現在の状況
2
3

ソフトウェア製品開発者が修正完了したもの、脆弱性ではないと判断したもの、不受理のもの。
ウェブサイト運営者が修正完了したもの、脆弱性ではないと判断したもの、連絡不可能なもの、不受理のもの。

2

2.ソフトウェア製品の脆弱性の処理状況
表 3．ソフトウェア製品の脆弱性の終了件数

2008 年第 2 四半期のソフトウェア製品の脆弱性の処理

分類

状況は、JPCERT/CCが調整を行い、製品開発者が脆弱性の修正を完了し、JVN で対策情報を公表したものは 13
4

修正完了件でした。製品開発者からの届出のうちJVNで公表せず製

件数

累計件数

公表済み

13 件

274 件

個別対応

2件

16 件

品開発者が個別対応を行ったものは 2 件、製品開発者が脆弱性ではない

3件

34 件

脆弱性ではないと判断したものは 3 件、告示で定める届

不受理

5件

104 件

23 件

428 件

出の対象に該当せず不受理としたものは 5 件でした。こ合計

れらの取扱いを終了したものの合計は 23 件（累計 428件）です（表 3）。
この他、海外のCSIRT 5 からJPCERT/CCが連絡を受けた 29 件（累計 356 件）をJVNで公表しました。
これらの、公表済み件数の期別推移を図 4 に示します。
国内発見者からの届出
70
国内発見者からの届出(累計)
60

四
半
期
件
数

海外のCSIRTからの連絡
海外のCSIRTからの連絡（累計）

50

238

40
30
20
10

34

0

3 12 7 22

54
17
7

71 97
30

45

114

133

59 67

147

183
117

89

203
142

170

261
193

286
211

303

327

242 261

356

400
350

274

300
250 累
200 計
150 件
100 数

20 13 17 15 26 14 17 8 19 22 14 28 36 25 20 28 35 23 23 18 25 31 17

19 24 13 2950
0

3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q
2004 2004 2005 2005 2005 2005 2006 2006 2006 2006 2007 2007 2007 2007 2008 2008

図４.ソフトウェア製品の脆弱性対策情報の公表件数
なお、2008 年第 2 四半期において、JVN で対策情報を公表した主なものは、以下のとおりです。
(1)「X.Org Foundation 製 X サーバ」の脆弱性 6Linux 等に GUI 環境を提供する X Window System のオープンソース実装「X.Org Foundation 製 X
サーバ」にバッファオーバーフローの問題が存在し、細工されたフォントファイルにより被害を受ける可能性がありました。この脆弱性が悪用されると、システムの破壊や、ウイルスやボットに感染させられてしまう可能性があり、6 月 10 日に JVN で対策情報を公表しました。
(2)「Lhaplus」の脆弱性 7
複数の圧縮ファイル形式に対応した圧縮・展開を行うソフトウェア「Lhaplus」にバッファオーバー
フローの問題が存在し、細工された圧縮ファイルを開くと被害を受ける可能性がありました。この脆弱性が悪用されると、システムの破壊や、ウイルスやボットに感染させられてしまう可能性があり、4 月
28 日に JVN で対策情報を公表しました。
4

Japan Vulnerability Notes。脆弱性対策情報ポータルサイト。国内で利用されている製品の脆弱性対策情報を公開し、システムのセキュリティ対策を支援しています。IPA、JPCERT/CC が共同で運営しています。http://jvn.jp/
5Computer Security Incident Response Team。コンピュータセキュリティインシデント対応チーム。コンピュータセ
キュリティに関するインシデント（事故）への対応・調整・サポートをする組織です。
6
本脆弱性の深刻度=レベル III（危険）、CVSS 基本値=7.4、別紙 P.4 表 1-2 項番 1 を参照下さい。
7
本脆弱性の深刻度=レベル II（警告）、CVSS 基本値=6.8、別紙 P.4 表 1-2 項番 4 を参照下さい。

33.ウェブサイトの脆弱性の処理状況

表 4．ウェブサイトの脆弱性の終了件数

2008 年第 2 四半期のウェブサイトの脆弱性の処理状況

分類

は、IPA が通知を行い、ウェブサイト運営者が修正を完了
したものは 163 件、ウェブサイト運営者が脆弱性ではな
いと判断したものは 17 件、ウェブサイト運営者と連絡が不可能なものが 0 件、告示で定める届出の対象に該当せず不受理としたものは 5 件でした。これらの取扱いを終

件数

累計件数

修正完了

163 件

978 件

脆弱性ではない

17 件

157 件

連絡不可能

0件

7件

不受理

5件

83 件

185 件

1,225 件

合計了したものの合計は 185 件（累計 1,225 件）です（表 4）。
これらのうち、修正完了件数の期別推移を図 5 に示します。

ウェブサイト脆弱性の修正完了(累計)220 ウェブサイト脆弱性の修正完了
978
200
815
180
722
160
655
629
四 140
543
477
半 120
415
100
360
期 80
323
269
件 60
214
148
40
110
数
60
20
66 55 54 37 55 62 66 86 26 93 67 163
18
50 38
0
42
2Q 3Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q
2004 2004 2005 2005 2005 2005 2006 2006 2006 2006 2007 2007 2007 2007 2008 2008

1000
800

累
計
400 件
数
600

200
0

図５.ウェブサイトの脆弱性の修正完了件数
3.1 届出のあったウェブサイトの運営主体の内訳と脆弱性の種類
今四半期に脆弱性の届出のあった対象ウェブサイトの運営主体別内訳は、企業合計が 71%、政府機関
が 7％、地方公共団体が 2％、団体（協会・社団法人）が 14％、個人が 4％となっています（図 6）。
また、今四半期に届出のあったウェブサイトの脆弱性の種類の内訳は、クロスサイト・スクリプティ
ングが 68%、ファイルの誤った公開が 18%、SQL インジェクションが 4%、認証に関する不備が 2%、
HTTP の不適切な利用が 2%などとなっています（図 7）。広く知れ渡っている脆弱性が数多く届出られており、ウェブサイト開発者は既知の脆弱性を認識し、ウェブサイトの企画・設計段階からのセキュリ
ティの考慮が必要です。

企業（株式・上場）

4%
2%

14%

2%
15%

1%
2%
企業（有限会社、他） 2%
4%
政府機関
企業（株式・非上場）

地方公共団体7%50%
6%
企業合計：71％

18%

団体(協会・社団法人)

1%
4%

クロスサイト・スクリプ
ティング
ファイルの誤った公開
SQLインジェクション
認証に関する不備
HTTPSの不適切な利用

68%

セッション管理の不備

個人

価格等の改ざん

その他

その他

図６.ウェブサイトの運営主体（2008年第2四半期）

図７.ウェブサイトの脆弱性の種類（2008年第2四半期）

43.2 ウェブサイトの脆弱性で 90 日以上対策が未完了のものは 136 件
IPA は、ウェブサイト運営者から脆弱性対策の返信がない場合、脆弱性が攻撃された場合の脅威を丁寧に解説するなど、1～2 カ月毎にメールや郵送手段などで脆弱性対策を促しています。また、今四半期
は、特に修正が長期化しているウェブサイト運営者に面会するなど、更に脆弱性対策を促しました。
この結果、図 8 に示すように、ウェブサイトの脆弱性で 90 日以上も対策が完了していないものは、
前四半期から 24 件減少しました。しかし、今四半期で新たに 52 件が 90 日以上となったため、28件増加し累計で 136 件（前四半期は 108 件）となりました。また、300 日以上も対策が完了していないものが 13 件増加し累計で 66 件（前四半期は 53 件）となりました。ウェブサイトの情報が盗まれてしまう可能性のある SQL インジェクションのように、深刻度の高い脆弱性でも修正が長期化しているものがあります。
60

その他

50

SQLインジェクション

40

クロスサイト・スクリプティング

30

累計件数（右目盛）

件
数 20

136
16

84
66

4

47
29

2
7

1
12

3
32
7
10
6
3
4
1
8
2
1
9
3
6
4
0
11 1 2
11
1100日 1099～ 999～ 899～ 799～ 699～ 599～ 499～ 399～ 299～ 199～
以上 1000日 900日 800日 700日 600日 500日 400日 300日 200日 90日

10

17
3
13

18

21

140
120
100
80 累
60 計
40 件
20 数
0

図８．修正が長期化しているウェブサイトの未修正の経過日数と脆弱性の種類(1)2008 年 4 月頃より SQL インジェクション攻撃が多発しています
例えば、IPAが提供しているウェブサーバのアクセスログを解析しSQLインジェクション攻撃や攻撃が成功した可能性を簡易に検出するツール「iLogScanner 8 」で、IPAが公開しているオープンソース情報データベース「OSS iPedia 9 」の 2008 年 1 月から 6 月のアクセスログを解析したところ、合計 123
件のSQLインジェクション攻撃を検出しました。攻撃に成功した件数は 0 件でしたが、図 9 に示すように、2008 年 4 月以降の攻撃が激増しています。
SQL インジェクション攻撃が成功すると、悪意ある者がデータベース内の情報を自由に操作することが可能となるため、ウェブサイトのデータベース内の情報の改ざん、消去、漏えいなどの深刻な被害を招く危険性があります。ウェブサイト運営者は脆弱性を攻撃された場合の脅威を認識し、早期に対策を講じる必要があります。
1.解析対象のウェブサイト

(件数)
60

・IPA のOSS iPedia

50（オープンソース情報データベース）

40

2.解析したログの期間

・2008年1月～6月

SQLインジェクション
攻撃があったと思われる件数55

30

3. 「iLogScanner」の解析結果

2920(1)攻撃があったと思われる件数：123件(2)攻撃が成功した可能性の高い件数：0件

10

3

8
0
2008年 1月 2月

4.ログの詳細調査結果

・攻撃に成功した件数：0件

24

4
3月 4月 5月 6月

図９．SQLインジェクションの検出ツール「iLogScanner」の解析事例
8
9

SQL インジェクションの検出ツール iLogScanner。http://www.ipa.go.jp/security/vuln/iLogScanner/
OSS iPedia（オーエスエスアイペディア）は、OSS(Open Source Software)の利用促進を目的とし、OSS の活用
事例、技術情報、オープンソースに関する基本的な知識を整理しています。“OSS”、情報（information）の“i”、ギリ
シャ語で教育・知識・学問を意味する“Pedia(Paideia)”からの造語です。http://ossipedia.ipa.go.jp/

5

4. ウェブサイト運営者からのアンケート集計結果
IPA では、脆弱性の対策を完了したウェブサイト運営者へアンケートを実施しています。IPA の認知度などのアンケートに対し、昨年 10 月より今四半期末までに 175 件（約 80%の回収率）の回答がありました。図 10 に示すように、IPA の認知度は 77%と高いものの、ソフトウェア等の脆弱性関連情報に関する届出制度の枠組みである「情報セキュリティ早期警戒パートナーシップ」についての認知度は26%と低い回答結果でした。
独立行政法人 情報処理推進機構(IPA)134

情報セキュリティ早期警戒パートナーシップ

4147

安全なウェブサイトの作り方

128
71

104

セキュア・プログラミング講座

51

124

知っていますか？脆弱性

58

117

知っている

知らない

JVN

41

134

JVN iPedia

34

141

0%

50%

100%

図10．ウェブサイト運営者 アンケート結果「情報セキュリティ早期警戒パートナーシップ」の認知度について、ウェブサイト運営主体別に分類
すると、図 11 に示すように企業（株式・非上場企業）の方々の認知度が、特に低い結果となりました。
今後は、「情報セキュリティ早期警戒パートナーシップ」の認知度向上を図ることによる脆弱性対策の促進にも注力したいと考えています。ウェブサイト運営者は、IPA の啓発資料「ウェブサイト運営者のための脆弱性対応ガイド 10 」を参考に、ウェブサイトの脆弱性がもたらす具体的なトラブルや運営者に問われる責任、ウェブサイトに求められる継続的な対策、脆弱性が見つかった場合の対応手順を理解し、脆弱性の通知を受けた場合に早期に対応が必要です。

「知っている」と回答があった方々の内訳
2%

0%

4%
2%

「知らない」と回答があった方々の内訳

企業（株式・上場）企業（株式・非上場）

11%

企業（有限会社、他）

34%

4%

政府機関
地方公共団体43%

団体(協会・社団法人)

4%
6%

2%

1%

12%

20%

3%

教育・学術機関52%

個人

図11．ウェブサイトの運営主体別「情報セキュリティ早期警戒パートナーシップ」認知度■ 本件に関するお問い合わせ先
独立行政法人 情報処理推進機構 セキュリティセンター 山岸／渡辺
Tel: 03-5978-7527 Fax: 03-5978-7518 E-mail: vuln-inq@ipa.go.jp
有限責任中間法人 JPCERT コーディネーションセンター 情報流通対策グループ

古田

Tel: 03-3518-4600 Fax: 03-3518-4602 E-mail: office@jpcert.or.jp■ 報道関係からのお問い合わせ先
独立行政法人 情報処理推進機構 戦略企画部広報グループ 横山／大海Tel: 03-5978-7503 Fax: 03-5978-7510 E-mail: pr-inq@ipa.go.jp
有限責任中間法人 JPCERT コーディネーションセンター 経営企画室 広報 江田
Tel: 03-3518-4600 Fax: 03-3518-4602 E-mail: pr@jpcert.or.jp

10「情報セキュリティ早期警戒パートナーシップガイドライン」の 2008 年版を公開～ウェブサイト運営者のための脆弱性対応マニュアルをガイドライン化～。http://www.ipa.go.jp/security/ciadr/partnership_guide.html

6

別紙

1. ソフトウェア製品の脆弱性の処理状況の詳細
1.1 ソフトウェア製品の脆弱性の処理状況
ソフトウェア製品の脆弱性関連情報の届出について、処理状況を図 1-1 に示します。今四半期に公表した脆弱性は、13 件（累計 274 件）です。また、「不受理」としたものは 5 件（累計 104件）です。
取扱い終了：311件
2007年
6月末

193

79

10 29

(括弧内の数値は、今四半期に「公表」「個別対応」「脆弱性では合計：ない」と判断されたものの件数)
511件

200

331件
2007年
9月末

211

79

12 29

合計：560件

229

372件
2007年
12月末

242

87

12 31

合計：626件

254

405件
2008年
3月末

261

14 31

合計：679件

274

99

428件(23件)
2008年
6月末

公表済み 274 (13)16 34(2) (3)

個別対応

0

100

200

不受理

104 (5)

合計：
748件

取扱い中 320

脆弱性ではない

300

400

500

600

700

800

公表済み:

JVN で脆弱性への対応状況を公表したもの

個別対応:

製品開発者からの届出のうち、製品開発者が個別対応したもの

脆弱性ではない:

製品開発者により脆弱性ではないと判断されたもの

不受理:

告示で定める届出の対象に該当しないもの

取扱い中:

製品開発者が調査、対応中のもの

図 1-1.ソフトウェア製品 各時点における脆弱性関連情報の届出の処理状況

1.2 届出られた製品の種類
届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報
748 件のうち、不受理のものを除いた 644 件の製品種類別の内訳を図 1-2 に示します。
図 1-2 に示すように、IPA に届出があった脆弱性には、「ウェブアプリケーションソフト」に関するものが多くあります。

2%
2%
2%
3%

2%

1%

8%
40% (37%)

3%
3%
4%
4%
(3%)
7%
(8%)

ウェブアプリケーションソフト
ウェブブラウザ
グループウェア
アプリケーション開発・実行環境
ルータ
ウェブサーバメールソフトアンチウイルスソフト
システム管理ソフト
検索システム
ファイル管理ソフト
周辺機器
OS
ワープロソフト
その他

11%
(12%)
8%
(644件の内訳、グラフの括弧内は前四半期の数字)(8%)※その他には、携帯機器、情報家電、IP電話、データベース、プロキシなどがあります。

図1-2.ソフトウェア製品の脆弱性 製品種類別内訳(届出受付開始から2008年6月末まで)

1届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報
748 件のうち、不受理のものを除いた 644 件について、オープンソースソフトウェアとそれ以外のソフトウェアの脆弱性の届出件数の推移を図 1-3 に示します。2005 年第 3 四半期以降、オー
プンソースソフトウェアの届出が増加し、今四半期も 28 件の届出がありました。
120
オープンソースソフトウェア
それ以外

100

33

80
60

8
52

40
20
0

74
15
1
15

1
11

4
9

3Q
2004

4Q

1Q
2005

2
16

12
11

19

2Q

3Q

4Q

10
14
1Q
2006

19
20

14

2Q

3Q

4Q

9

19

28

11

11
52

25

25

33

1Q
2007

2Q

3Q

31
4Q

図1-3.オープンソースソフトウェアの脆弱性の届出件数

1Q
2008

40

2Q

(644件の内訳)

1.3 脆弱性の原因と脅威
届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報
748 件のうち、不受理のものを除いた 644 件の原因別の内訳を図 1-4 に、原因別の届出件数の推移を図 1-5 に、脅威別の内訳を図 1-6 に示します。
図 1-4 に示すように、脆弱性の原因は「ウェブアプリケーションの脆弱性」が最多であり、図1-6 に示すように、脅威についても「任意のスクリプト実行」が最多となっています。これは、「ウェブアプリケーションソフト」以外のソフトウェア製品であっても、ウェブブラウザから管理、使用するものが多くあり、そこに脆弱性が存在するためで、この傾向は図 1-5 に示すように、届出受付開始から続いています。
ウェブアプリケーションの脆弱性

5%バッファのチェックの不備

12%

仕様上の不備

64%
(62%)

1%
3%
2%
(3%)
3%
(3%)
3%
(3%)

ファイルのパス名、内容のチェックの不備
セキュリティコンテキストの適用の不備
アクセス制御の不備証明書の検証に関する不備

7%
(7%)

その他実装上の不備
その他ウェブに関連する不備(644件の内訳、グラフの括弧内は前四半期の数字)

図1-4.ソフトウェア製品の脆弱性 原因別内訳(届出受付開始から2008年6月末まで)

2

その他ウェブに関連する不備

120

その他実装上の不備
証明書の検証に関する不備

100

セキュリティコンテキストの適用の不備
アクセス制御の不備

80

ファイルのパス名、内容のチェックの不備
仕様上の不備

60

バッファのチェックの不備
ウェブアプリケーションの脆弱性

40
20
0
3Q
2004

4Q

1Q
2005

2Q

3Q

4Q

1Q
2006

2Q

3Q

4Q

1Q
2007

2Q

3Q

4Q

1Q
2008

2Q

図1-5. ソフトウェア製品の脆弱性 原因別内訳 (届出受付開始から2008年6月末まで)

2%
2%
3%
3%

1%
2%

5%

3%
4%

48%
(47%)

5%
(6%)
7%
(7%)
7%
(7%)

8%
(9%)

任意のスクリプトの実行
情報の漏洩
任意のコードの実行
なりすまし
サービス不能任意のコマンドの実行
任意のファイルへのアクセス
アクセス制限の回避
認証情報の漏洩通信の不正中継
データベースの不正操作
アプリケーションの異常終了
セッション・ハイジャック
その他(644件の内訳、グラフの括弧内は前四半期の数字)

図1-6. ソフトウェア製品の脆弱性 脅威別内訳 (届出受付開始から 2008年6月末まで)

1.4 ソフトウェア製品の脆弱性情報の調整および公表状況
JPCERT/CC は、表 1-1 に示す 2 種類の脆弱性関連情報について、日本国内の製品開発者等の関係者との調整、および海外CSIRT 11 の協力のもと、海外の製品開発者との調整を行っています。
これらの脆弱性関連情報に対する製品開発者の対応状況は、IPAとJPCERT/CCが共同運営している脆弱性対策情報ポータルサイトJVN（Japan Vulnerability Notes）において公表しています（URL：
http://jvn.jp/ ）表 1-1．脆弱性関連情報の提供元別 脆弱性公表件数
情報提供元
今期
累計
国内の発見者から IPA に届出があったもの、および、製品開発者自身
13 件 274 件①
から自社製品の脆弱性、対策方法について連絡を受けたもの② 海外 CSIRT 等と連携して公表したもの
29 件 356 件
計42 件 630 件

11

CSIRT（Computer Security Incident Response Team）は、コンピュータセキュリティに関するインシデント（事故）への対応や調整、サポートをするチームのことです。

3

（1）国内の発見者および製品開発者から届出があり公表した脆弱性
届出受付開始から 2008 年 6 月末までの届出について、脆弱性関連情報の届出（表 1-1 の①）を受理してから製品開発者が対応状況を公表するまでに要した日数を図 1-7 に示します。届出受付開始から各四半期末までの 45 日以内に公表される件数が 32%と減少し、公表するまでに要した日数が増加する傾向にあります。製品開発者は脆弱性への早急な対応をお願いします。

45 日以内の公表件数の割合
2007/4Q まで

2008/1Q まで

2008/2Q まで

34%

33%

32%

32% (45日以内の公表)

全体（274件)

18件 21件 23件

27件

83件

10%

20%

30%

16件 27件

101～200日

201～300日
301～日

46～100日

21～30日～10日
31～45日11～20日

0%

59件

40%

50%

60%

70%

80%

90%

100%

図1-7. ソフトウェア製品の脆弱性公表日数
表 1-2 に、国内の発見者、製品開発者から届出を受け、今四半期に公表した脆弱性を示します。
オープンソースソフトウェアに関して開発者、開発コミュニティに通知し公表したものが 4 件（表1-2 の*1）、組込みソフトウェア製品の脆弱性が 1 件（表 1-2 の*2）ありました。
表 1-2.2008 年第 2 四半期に JVN で公表した脆弱性
項番脆弱性

セキュリティ上の問題点

JVN
CVSS
公表日 基本値

脆弱性の深刻度=レベル III（危険）、CVSS 基本値=7.0～10.0「 X.Org Foundation 「X.Org Foundation が提供する X サーバ」には、バッフ
2008 年
1 が 提 供 す る X サ ー ァオーバーフローの脆弱性が存在しました。このため、利6 月 10(*1) バ」におけるバッファオ 用者のコンピュータ上で任意のコードを実行される可能性
日ーバーフローの脆弱性 がありました。

7.4「 BlognPlus( ぶ ろ ぐ ん ブログ作成用ソフト「BlognPlus(ぶろぐん＋)」の MySQL＋)」における SQL イ 版および PostgreSQL 版には、利用者の入力を元にデ 2008 年
ンジェクショ ンの脆弱 ータベースに問い合わせる際の処理に問題がありました。 6 月 17
このため、第三者により任意の SQL 命令を実行される 日性可能性がありました。

7.5

2

脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.0～6.9
ソ ニ ー 製 「 mylo ウェブブラウザやメディアプレーヤなどを搭載した小型端COM-2」におけるサー 末であるソニー製「myloCOM-2」には、SSL/TLS 接続時
2008 年
3 バ証明書を検証しない にサーバ証明書を検証しない脆弱性が存在しました。この4 月 23
ため、信頼できない証明書であっても利用者は気づかず(*2) 脆弱性
日に接続してしまい、フィッシングサイト等に誘導されてしまう可能性がありました。

4.3「Lhaplus」におけるバ ファイル圧縮・展開ソフト「Lhaplus」には、バッファオーバ
2008 年ッファオーバーフロー ーフローの脆弱性が存在しました。このため、利用者のコ
4 月 28の脆弱性
ンピュータ上で任意のコードを実行される可能性がありま
日
した。

6.8

4

4

項番

脆弱性

セキュリティ上の問題点

JVN
CVSS
公表日 基本値

複 数 の ブ ル ー ム ー ン ブルームーン社が提供する 複数の XOOPS 向けモジュ
製 XOOPS モジュー ールには、クロスサイト・スクリプティングの脆弱性が存在 2008 年
5ルにおけるクロスサイ しました。このため、第三者によりウェブページにスクリプト 4 月 28(*1)
日
ト・スクリプティングの を埋め込まれる可能性がありました。
脆弱性

4.3

KENT WEB 製「WEB ショッピングサイト構築ソフト「WEB MART」には、ウェブペ
2008 年MART」におけるクロス ージを出力する際のエスケープ処理に漏れがありました。
5 月 30
サイト・スクリプティグ このため、第三者によりウェブページにスクリプトを埋め込日まれる可能性がありました。
の脆弱性

4.3

「 CGIWrap 」 の エ ラ ー 「CGIWrap」には、エラー画面を出力する際のエスケープ
2008 年
7 画面におけるクロスサ 処理に漏れがありました。このため、第三者によりウェブ
6 月 19(*1) イト・スクリプティング ページにスクリプトを埋め込まれる可能性がありました。
日
の脆弱性

4.3

8

「nProtect : Netizen」 特定のウェブサイト用のセキュリティツール「nProtect :2008 年におけるサービス運用 Netizen」には、サービス運用妨害 (DoS) の脆弱性が存
6 月 25妨 害 (DoS) の 脆 弱 在しました。ユーザが細工されたウェブページを閲覧する
日ことで起動できなくなる問題がありました。
性

4.3

9

「サイボウズガルーン」 グループウェア「サイボウズガルーン」には、セッション ID 2008 年
におけるセッション固 を正しく処理できない問題がありました。このため、第三者 6 月 27
定の脆弱性になりすまされてしまう可能性がありました。
日

5.8

10

「サイボウズガルーン」 グループウェア「サイボウズガルーン」には、RSS フィード
2008 年において任意のスクリ を利用する際に任意のスクリプトが実行される脆弱性が存
6 月 27
プトが実行される脆弱 在しました。このため、意図しないスクリプトが実行される
日
可能性がありました。
性

4.3

6

脆弱性の深刻度=レベル I（注意）、CVSS 基本値=0.0～3.9「Mozilla Firefox」にお ウェブブラウザ「Mozilla Firefox」には、ウェブページの11 けるクロスサイト・スク HTML を解釈する際の処理に漏れがありました。このた 2008 年(*1) リプティングの脆弱性 め、意図しないスクリプトが実行される可能性がありまし 4 月 4 日
た。

2.6

12

「 Sleipnir 」 お よ び ウェブブラウザ「Sleipnir」および「Grani」には、お気に入り「Grani」のお気に入り 検索結果を履歴より復元する処理に問題がありました。こ
検索結果を履歴より復 のため、意図しないスクリプトが実行される可能性があり 2008 年
6月4日
元した際に任意のスク ました。
リプトが実行される脆
弱性

2.6

13

複 数 の サ イ ボ ウ ズ 製 複数のサイボウズ製品には、クロスサイト・リクエスト・フォ
2008 年品におけるクロスサイ ージェリの脆弱性が存在しました。このため、当該製品に
6 月 27
ト・リクエスト・フォージ ログインした状態で悪意あるページを読み込んだ場合、ス日
ケジュールや設定を変更される可能性がありました。
ェリの脆弱性

2.6(*1)：オープンソースソフトウェア製品の脆弱性(*2)：組込みソフトウェアの脆弱性

5

（2）海外CSIRT等と連携して公表した脆弱性
JPCERT/CC が海外 CSIRT 等と連携して公表した脆弱性 29 件には、通常の脆弱性情報 19 件（表1-3）と、対応に緊急を要する Technical Cyber Security Alert（表 1-4）の 10 件とが含まれます。
これらの脆弱性情報は、通常関連する登録済み製品開発者へ通知したうえ、JVN に掲載しています。
表 1-3.米国CERT/CC 12 等と連携した脆弱性関連情報および対応状況
項

脆弱性

番

対応状況

1

Microsoft Office Project において任意のコードが実行可能な脆弱性

緊急案件として掲載

2

Microsoft Windows GDI におけるバッファオーバーフローの脆弱性

緊急案件として掲載

3

CUPS における整数オーバーフローの脆弱性

注意喚起として掲載

4

ある種の範囲チェックを破棄する C コンパイラの最適化の問題

注意喚起として掲載

5
6
7
8
9

BGP 実装において細工された BGP UPDATE メッセージを適切に処理できない脆弱性
Wonderware SuiteLink における NULL ポインタ参照の脆弱性
Debian および Ubuntu の OpenSSL パッケージに予測可能な乱数が生成される脆弱性
Adobe Flash Player に任意のコード実行の脆弱性
OpenSSL Server Name extension data の処理にサービス運用妨害(DoS)の脆弱性

複数製品開発者へ通知
注意喚起として掲載
緊急案件として掲載
緊急案件として掲載
注意喚起として掲載

10

OpenSSL TLS ハンドシェイクにサービス運用妨害(DoS)の脆弱性

注意喚起として掲載

11

SNMPv3 実装の不適切な HMAC 処理による認証回避の脆弱性

緊急案件として掲載

12

Apple QuickTime の file:URL の処理に任意のコード実行の脆弱性

緊急案件として掲載

13

Citect 社製 CitectSCADA におけるバッファオーバーフローの脆弱性

注意喚起として掲載

14

Windows 版 Safari が Internet Explorer のゾーン設定にもとづきダウ
ンロードしたファイルを自動的に実行する問題

注意喚起として掲載

15

Icon Labs 製 Iconfidant SSH サーバにおける複数の脆弱性

注意喚起として掲載

16

Deterministic Network Enhancer に権限昇格の脆弱性

注意喚起として掲載

17
18
19

Adobe Reader および Adobe Acrobat の JavaScript メソッドに入力値を適切に処理できない脆弱性
Microsoft Internet Explorer 6 にクロスドメインの脆弱性
Microsoft Internet Explorer におけるフレーム間のアクセスを適切に制限できない脆弱性12

注意喚起として掲載
緊急案件として掲載
緊急案件として掲載

CERT/Coordination Center。1998 年のウイルス感染事件を契機に米国カーネギーメロン大学に設置された CSIRT。
6

表 1-4.米国US-CERT 13 と連携した脆弱性関連情報および対応状況
項番

脆弱性

1

Apple QuickTime における複数の脆弱性に対するアップデート

2

Microsoft 製品における複数の脆弱性に対するアップデート

3

Adobe Flash Player における複数の脆弱性に対するアップデート

4

Microsoft 製品における複数の脆弱性に対するアップデート

5

Debian および Ubuntu の OpenSSL パッケージに予測可能な乱数が生成される脆弱性

6

Adobe Flash Player の脆弱性を利用した攻撃に関する情報

7

Apple 製品における複数の脆弱性に対するアップデート

8

SNMPv3 における認証回避の脆弱性

9Microsoft 製品における複数の脆弱性に対するアップデート

10

Apple QuickTime における複数の脆弱性に対するアップデート

13

United States Computer Emergency Readiness Team。米国の政府系 CSIRT。
7

2. ウェブサイトの脆弱性の処理状況の詳細
2.1 ウェブサイトの脆弱性の処理状況
ウェブサイトの脆弱性関連情報の届出について、処理状況を図 2-1 に示します。
図 2-1 に示すように、ウェブサイトの脆弱性について、今四半期中に処理を終了したものは 185
件（累計 1,225 件）でした。このうち、「修正完了」したものは 163 件（累計 978 件）、ウェブ
サイト運営者により「脆弱性ではない」と判断されたものは 17 件（累計 157 件）でした。なお、
メールでウェブサイト運営者と連絡が取れない場合は、電話や郵送手段で連絡を試みたり、レンタルサーバ会社と連絡を試みたりしていますが、それでも、ウェブサイト運営者から回答がなく「取扱い不可能」なものは 0 件(累計 7 件)です。
「不受理」としたものは 5 件（累計 83 件）でした。
取扱いを終了した累計 1,225 件のうち、「連絡不可能」「不受理」を除く累計 1,135 件（92%）
は、指摘した点が解消されていることが、ウェブサイト運営者により報告されています。
「修正完了」したものうちのウェブサイト運営者からの依頼を受け、当該脆弱性が適切に修正されたかどうかを IPA が確認したものは 32 件（累計 160 件）、ウェブサイト運営者が当該ページを削除することにより対応したものは 7 件（累計 75 件）、ウェブサイト運営者が運用により被害を回避しているものは 0 件（累計 19 件）でした。
取扱い終了: 792件
2007年
6月末

合計
940件

148

87 7 69629(括弧内の数字は、今四半期に「修正完了」「脆弱性ではない」と判断されたもの等の件数)

845件
2007年
9月末

111 7 72655

合計1,043件

198

962件
2007年
12月末

161

131 7 76748

合計1,123件

1,040件
2008年
3月末

327

140 7 78815
1,225件(185件)

2008年
6月末

内容確認済

160(32)

連絡不可能

修正完了

内該当ページを削除

978 (163)

75(7)

内運用で
回避

19(0)

157 7 83(17) (0) (5)

200

400

600

800

1000

取扱い中

350

合計
1575件

1400

1600

不受理

脆弱性ではない0

合計1,367件

1200

修正完了
確認済
当該ページを削除
運用で回避
脆弱性ではない
連絡不可能
不受理： ウェブサイト運営者により脆弱性が修正されたもの：
修正完了のうち、IPA が修正を確認したもの：
修正完了のうち、当該ページを削除して対応したもの：
修正完了のうち、運用により被害を回避しているもの： ウェブサイト運営者により脆弱性はないと判断されたもの： ウェブサイト運営者からの回答がなく、取扱いができないもの： 告示で定める届出の対象に該当しないもの

取扱い中： ウェブサイト運営者が調査、対応中のもの

図 2-1.ウェブサイト各時点における脆弱性関連情報の届出の処理状況

8

2.2 ウェブサイトの脆弱性の種類と脅威届出受付開始から今四半期末までにIPAに届出られたウェブサイトの脆弱性関連情報 1,575 件のうち、不受理のものを除いた 1,492 件について、種類別内訳を図 2-2 に、種類別の届出件数の推移を図 2-3 に、脅威別内訳を図 2-4 に示します 14 。
1%
1%
1%
2%
2%
2%
2%
(2%)
2%
(2%)
6%
(5%)

1%

1%

クロスサイト・スクリプティング
SQLインジェクション
ファイルの誤った公開
DNS情報の設定不備
HTTPレスポンス分割
パス名パラメータの未チェック

6%

50%
(47%)

23%
(26%)

ディレクトリ・トラバーサル
セッション管理の不備
メールの第三者中継
認証に関する不備
価格等の改ざんHTTPSの不適切な利用
クロスサイト・リクエスト・フォージェリ
その他(1,492件の内訳、グラフの括弧内は前四半期の数字)

図2-2.ウェブサイトの脆弱性 種類別内訳 (届出受付開始から2008年6月末まで)

250
その他
クロスサイト・リクエスト・フォージェリHTTPSの不適切な利用

200

価格等の改ざん
認証に関する不備
メールの第三者中継

150

セッション管理の不備
ディレクトリ・トラバーサル

100

パス名パラメータの未チェック
HTTPレスポンス分割
DNS情報の設定不備

50

ファイルの誤った公開
SQLインジェクション
クロスサイト・スクリプティング

0

2004

2005

2006

2007

2008

3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q

図2-3.ウェブサイトの脆弱性 種類別件数の推移 (届出受付開始から2008年6月末まで)

14

それぞれの脆弱性の詳しい説明については付表 2 を参照してください。

9

1%

2%
2%
2%
3%
5%
(5%)

3%

本物サイト上への偽情報の表示
データの改ざん、消去
Cookie情報の漏洩

37%
(33%)

11%
(9%)

個人情報の漏洩
サーバ内ファイルの漏洩
なりすまし
ドメイン情報の挿入
メールシステムの不正利用
ウェブキャッシュ情報のすり替え

12%
(13%)

踏み台

22%
(25%)

その他
(1,492件の内訳、グラフの括弧内は前四半期の数字)

図2-4.ウェブサイトの脆弱性 脅威別内訳 (届出受付開始から2008年6月末まで)
今四半期も「クロスサイト・スクリプティング」が多く届出られ（図 2-3）、脆弱性の種類は「クロスサイト・スクリプティング」「SQL インジェクション」が全体の 7 割以上をしめます（図 2-2）。
また「クロスサイト・スクリプティング」や「SQL インジェクション」の脅威である、「本物サイト上への偽情報の表示」「Cookie 情報の漏洩」「データの改ざん、消去」が約 7 割をしめています（図 2-4）。
ウェブサイト運営者は、引き続き脆弱性を作りこまないように注意してください。

2.3 ウェブサイトの脆弱性の修正状況
届出受付開始から 2008 年 6 月末までの届出の中で、実際にウェブアプリケーションを修正したものについて、ウェブサイト運営者に脆弱性の詳細情報を通知してから修正されるまでに要した日数およびその傾向を、脆弱性の種類別に図 2-5 および図 2-6 に示します。全体の 57%の届出が 30 日以内、全体の 81%の届出が 90 日以内に修正されています。
90 日以内の修正件数の割合
2007/3Q まで 2007/4Q まで
79%
78%

2008/1Q まで
77%

2008/2Q まで
81%

81%(90日以内の修正)
クロスサイト・スクリプティング(506件)

140

SQLインジェ クショ ン(149件)
DNS情報の設定不備(28件)120

ファ イルの誤った公開 (27件)
HTTPレスポンス分割 (24件)100

ディレクトリ・トラバーサル(15件)
セッショ ン管理の不備 (13件)
メールの第三者中継(10件)80

その他 (80件)

60
40
20
0
当日

1日

2日

3日

4日
6日
11日
21日
31日
51日
91日 201日 301日～～5日 ～10日 ～20日 ～30日 ～50日 ～90日 ～200日～300日

図2-5.ウェブサイトの修正に要した日数
10クロスサイト・スクリプティング(506件 )SQLインジェクション(149件)
DNS情報の設定不備(28件)
ファイルの誤った公開(27件)
HTTPレスポンス分割(24件)
ディレクトリ・トラバーサル(15件)セッション管理の不備(13件)
メールの第三者中継(10件)
その他 (80件)～10日

11日～20日

0%

20%

40%

21日～30日

31日～50日

51日～90日

60%
91日～200日

80%
201日～300日

100%
301日～

図2-6.ウェブサイトの修正に要した日数の傾向

3. 関係者への要望
脆弱性の修正を促進していくための、各関係者への要望は以下のとおりです。

(1)ウェブサイト運営者
多くのウェブサイトのソフトウェアに脆弱性が発見されています。自身のウェブサイトでどのようなソフトウェアを利用しているかを把握し、脆弱性対策を実施することが必要です。
なお、脆弱性の理解にあたっては、以下のコンテンツが利用できます。
「知っていますか？脆弱性（ぜいじゃくせい）」：
http://www.ipa.go.jp/security/vuln/vuln_contents/「安全なウェブサイト運営入門」：
http://www.ipa.go.jp/security/vuln/7incidents/(2)製品開発者
JPCERT/CC は、ソフトウェア製品の脆弱性関連情報について、「製品開発者リスト」に基づき、一般公表日の調整等を行います。迅速な調整を進められるよう、「製品開発者リスト」への登録を求めます（URL：http://www.jpcert.or.jp/vh/）。また、製品開発者自身で脆弱性を発見、修正された
場合も、利用者への対策情報の周知のために JVN を活用できます。JPCERT/CC もしくは IPA への連絡を求めます。

(3)一般インターネットユーザ
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がけていただくことが必要です。
脆弱性があるソフトウェアを使い続けることは避けなければなりません。

(4)発見者
脆弱性関連情報の適切な流通のため、届出られた脆弱性関連情報は、脆弱性が修正されるまでの期間は第三者に漏れぬよう、適切に管理されることを要望します。

11

付表 1. ソフトウェア製品 脆弱性の原因分類
脆弱性の原因説明

届出において想定された脅威1

設定情報の漏洩通信の不正中継
ア ク セ ス 制 御 の 不 アクセス制御を行うべき個所において、なりすまし
備
アクセス制御が欠如している
任意のスクリプトの実行
認証情報の漏洩2

アクセス制限の回避
価格等の改ざん
サービス不能
資源の枯渇
ウェブアプリケーションに対し、入力さ 重要情報の漏洩れた情報の内容の解釈や認証情報の取扱 情報の漏洩
ウ ェ ブ ア プ リ ケ ー い、出力時の処理に問題がある。
「クロス セッション・ハイジャック
ションの脆弱性
サイト・スクリプティング」攻撃や「SQL 通信の不正中継
インジェクション」攻撃などに利用され なりすましてしまう
任意のコマンドの実行
任意のスクリプトの実行
任意のファイルへのアクセス
認証情報の漏洩
RFC 等の公開された規格に準拠して、設計、実装した結果、問題が生じるもの。 サービス不能
プロトコル上の不備がある場合、ここに 資源の枯渇
含まれる

3

仕様上の不備4

ウェブブラウザやメールクライアントソ
証 明 書 の 検 証 に 関 フトに証明書を検証する機能が実装され 証明書の確認不能
する不備ていない、または、検証が正しく行われ なりすまし
ずに、偽の証明書を受けいれてしまう

5

アプリケーションの異常終
本来、厳しい制限のあるセキュリティコ
セキュリティコン
了
ンテキストで取り扱うべき処理を、緩いテキストの適用の情報の漏洩
制限のセキュリティコンテキストで処理
不備
任意のコードの実行してしまう
任意のスクリプトの実行

6

想定外の長さの入力が行われた場合に、サービス不能バ ッ フ ァ の チ ェ ッ 長さをチェックせずバッファに入力して任意のコードの実行
クの不備しまう。
「バッファオーバーフロー」攻撃
任意のコマンドの実行に利用されてしまう。

7

処理の際のパラメータとして指定されてアプリケーションの異常終いるディレクトリ名やファイル名、ファ了
イルの内容をチェックしていない。任意
ファイルのパス名、
サービス不能のディレクトリのファイルを指定できて内容のチェックの資源の枯渇
しまい、「ディレクトリ・トラバーサル」
不備
任意のファイルへのアクセ攻撃に利用されてしまう。また、破損しス
たファイルや不正に書き換えられたファ
認証情報の漏洩イルを処理した際に不具合が生じる

12

付表 2 ウェブサイト脆弱性の分類
脆弱性の種類

深刻度

説明

届出において想定された脅威高個人情報の漏洩
一般に公開すべきでないファイルが公開さ サーバ内ファイルの漏れており、自由に閲覧できる状態になって 洩いる
データの改ざん、消去
なりすまし

2

パス名パラメータの未チェック

高ユーザからの入力を処理する際のパラメー
タとして指定されているファイル名を、ユ サーバ内ファイルの漏ーザが変更し、ウェブサーバ上の任意のデ 洩ィレクトリのファイルを指定できてしまう

3

ディレクトリ･トラバーサル

高ウェブサーバ上のディレクトリのアクセス 個人情報の漏洩権を超えて、本来許可されている範囲外の サーバ内ファイルの漏
ディレクトリにアクセスできる洩

4

セッション管理の不備高セッション管理に、推測可能な情報を使用
Cookie 情報の漏洩しているため、他のユーザの情報が容易に
個人情報の漏洩
推測でき、他のユーザになりすまして、サ
なりすましービスを利用することができる

5

SQL インジェクション

高

個人情報の漏洩
入力フォームなどへ SQL コマンド（データサーバ内ファイルの漏
ベースへの命令）を入力し、データベース
洩
内の情報の閲覧、更新、削除などができる
データの改ざん、消去

6

DNS 情報の設定不備

高

DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名の持ち ドメイン情報の挿入
主であるかのようにふるまえてしまう中

外部の第三者により、他のサーバへのアクセスを中継するサーバとして利用され、不踏み台
正アクセスなどの際にアクセス元を隠すた
めの踏み台にされてしまう中

Cookie 情報の漏洩
サーバ内ファイルの漏
ユーザの Cookie 情報を知らないうちに転 洩送させたり、偽の情報を表示させたりする 個人情報の漏洩
ような罠のリンクをユーザにクリックさ データの改ざん、消去
せ、個人情報等を盗むことができる
なりすまし
本物サイト上への偽情報の表示

中ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそかにア
データの改ざん、消去
クセスさせ、登録情報の変更や商品の購入をさせることができる

中

攻撃者がユーザに対し、悪意のある要求をウェブサーバに送信するように仕向けるこ
ウェブキャッシュ情報とで、ウェブサーバからの応答を分割させのすり替えて応答内容をすり替え、ユーザに対して偽のページを表示させることができる

中

ユーザに対し、ソフトウェアをインストー
ルさせたり、ブラウザのセキュリティレベ 利用者のセキュリティ
ルを下げるよう指示することでクライアン レベルの低下
ト PC のセキュリティ設定を低下させる

中

ウェブサーバに設置したリダイレクタが悪踏み台
意あるリンクへの踏み台にされたり、その本物サイト上への偽情
ウェブサイト上で別のサイト上のページを報の表示表示させられてしまう

1

ファイルの誤った公開7

オープンプロキシ

8

クロスサイト･
スクリプティング

9

クロスサイト・リク
エスト・フォージェ
リ

10

HTTP レスポンス分
割

セキュリティ設定の11
不適切な変更リダイレクタの不適
12
切な利用

13

脆弱性の種類

13

14

深刻度

フィルタリングの回避OS コマンド・インジ
ェクション

15 メールの第三者中継

16

HTTPS の 不 適 切 な
利用

17 価格等の改ざん

届出において想定された脅威説明中

ウェブサイトのサービスやブラウザの機能として提供されているフィルタリング機能 利用者のセキュリティが回避される問題。これにより、本来制限 レベルの低下されるはずのウェブページを閲覧してしま なりすましう

中

攻撃者がウェブアプリケーションを介してウェブサーバの OS コマンドを実行できてしまい、サーバ内ファイルの閲覧やシス 任意のコマンドの実行
テム操作、不正なプログラムの実行などを行われてしまう

低利用者が入力した内容を管理者が指定した
メールアドレスに送信する機能で、外部のメールシステムの不正利用者が宛先メールアドレスを自由に指定利用できてしまい、迷惑メール送信の踏み台に
悪用される

低

HTTPS による暗号化をしているが、暗号の選択や設定が十分でなかったり、ウェブ
サイトでのユーザへの説明に間違いがあ なりすましる、または、ウェブサイトの設計上、ユー
ザから証明書が確認できない

低ショッピングサイトにおいて、価格情報等
が利用者側で書き換えられる。書き換えに データの改ざんよる被害は、ウェブサイト側に限定される

・API: Application Program Interface

・RFC: Request For Comments

・CGI: Common Gateway Interface

・SQL: Structured Query Language

・DNS: Domain Name System

・SSI: Server Side Include

・HTTP: Hypertext Transfer Protocol

・SSL: Secure Socket Layer

・HTTPS: Hypertext Transfer Protocol Security

・TCP: Transmission Control Protocol

・URI: Uniform Resource Identifier・URL: Uniform Resource Locator・ISAKMP : Internet Security Association
・MIME

Key Management Protocol: Multipurpose Internet Mail Extension

付図１．「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み）
脆弱性関連情報流通体制

ユーザ
ユーザー
脆弱性関連
情報届出

ソフトウェア
製品の脆弱性

脆弱性関連
情報通知

脆弱性関連情報の報告された脆弱性
内容確認・検証
関連情報の内容確認

発見者
W e b サイトの脆弱性

受付・分析機関
受付機関
報告された

調整機関

ソフト
開発者等

対応状況等
対応状況
対策方法等
公表公表

システム導入
支援者等

政府
企業
個人

セキュリティ対策推進協議会等

分析機関【期待効果】

脆弱性対策情報ポータル

公表日の決定、
海外の調整機関との連携等

分析支援機関脆弱性関連
情報届出

対策情報ポータル

対応状況の集約、
公表日の調整等

産総研など報告された脆弱性
脆弱性関連情報通知
脆弱性関連情報通知
関連情報の検証W e b サイト運営者

Webサイト運営者
検証、対策実施
検証、対策実施

個人情報の漏えい時は事実関係を公表
個人情報漏洩時は事実関係を公表①製品開発者及びウェブサイト運営者による脆弱性対策を促進②不用意な脆弱性関連情報の公表や脆弱性の放置を抑制③個人情報等重要情報の流出や重要システムの停止を予防※IPA：独立行政法人 情報処理推進機構、JPCERT/CC：有限責任中間法人 JPCERT コーディネーションセンター、産総研：独立行政法人 産業技術総合研究所

14