Japan Computer Emergency Response Team Coordination Center

電子署名者 : Japan Computer Emergency Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku, email=office@jpcert.or.jp, o=Japan Computer Emergency Response Team Coordination
Center, cn=Japan Computer Emergency Response Team Coordination Center
日付 : 2009.10.16 11:35:00 +09'00'

プレスリリース2009 年 10 月 16 日
独立行政法人情報処理推進機構
一般社団法人 JPCERT コーディネーションセンター

ソフトウェア等の脆弱性関連情報に関する届出状況 [2009 年第 3 四半期(7 月～9 月)]～ウェブサイト運営者は脆弱性の修正に関して、十分な確認を！～
IPA（独立行政法人情報処理推進機構、理事長：西垣 浩司）および JPCERT/CC（一般社団法人
JPCERT コーディネーションセンター、代表理事：歌代 和正）は、2009 年第 3 四半期（7 月～9 月）の脆弱性関連情報の届出状況1をまとめました。

(1)ウェブサイト運営者は脆弱性の修正に関して、十分な確認が必要です
IPA がウェブサイト運営者に脆弱性の存在を指摘し、運営者が脆弱性を修正後、脆弱性の発見者に修正完了の報告を行った際、2009 年 1 月から 9 月末までの修正完了 779 件のうち、発見者から 120 件（15%）の再指摘がありました（図 1）。その内訳は「修正不十分」が 69 件（9%）、「別の個所に脆弱性が存在」
が 51 件（6%）でした。ウェブサイトの運営主体毎に算出した再指摘の割合をみると、個人（57%）、
企業（23%）、団体（協会・社団法人、16%）などが高くなっています（図 2）。
再指摘箇所無し

個人

再指摘箇所有り（修正不十分）
再指摘箇所有り（別の個所に脆弱性が存在）

659
(85%)

120
(15%)

69
(9%)
51
(6%)
総数：779件

図1.発見者からの再指摘状況

57%

43%

企業

77%

23%

団体

84%

16%

地方公共団体

91%

9%

政府機関

92%

8%

教育・学術機関

93%

7%

100%

0%

不明
再指摘箇所無し

再指摘箇所有り図2.運営者主体毎の発見者からの再指摘の割合「修正不十分」の脆弱性の種類はクロスサイト・スクリプティングが 48 件（70%）、SQL インジェク
ションが 10 件（14%）、DNS 情報の設定不備が 8 件（12%）、HTTP レスポンス分割が 3 件（4%）となっています（図 3）。
「別の個所に脆弱性が存在」は、それぞれ 45 件（88%）、4 件（8%）、1 件（2%）、1 件（2%）となっています（図 4）。
クロスサイト・スクリプティング
SQLインジェクション
DNS情報の設定不備
HTTPレスポンス分割

8 (12%)

3 (4%)

クロスサイト・スクリプティング
SQLインジェクション
DNS情報の設定不備
HTTPレスポンス分割

4 (8%)

1 (2%)

1 (2%)

10 (14%)48 (70%)

指摘総数：69件

図3.修正不十分の脆弱性の種類

45 (88%)

指摘総数：51件

図4.別の個所に脆弱性が存在する脆弱性の種類

クロスサイト・スクリプティングの脆弱性は、情報を出力する処理に起因することが多く、一般的に、
ウェブアプリケーションには出力処理が多数あることから、SQL インジェクションや DNS 情報の設定
1

ソフトウェア等の脆弱性関連情報に関する届出制度：経済産業省告示に基づき、2004 年 7 月より開始しました。
IPA は届出受付・分析、JPCERT/CC は国内の製品開発者などの関連組織との調整を行っています。
1

不備の脆弱性と比較して、修正した以外の箇所にも同様の脆弱性が存在する傾向があります。
脆弱性を修正する場合、脆弱性の修正の確認を十分にするとともに、別の箇所に、同様な脆弱性が存在していないかの確認も併せて実施してください。特にクロスサイト・スクリプティングのような、別の箇所に存在する可能性が高い脆弱性は、指摘された箇所を修正するだけでなく、ウェブサイト全体について確認する必要があります。場合によっては、設計に遡り見直すことも必要です。
表 1. 2009 年第 3 四半期の届出件数(2)届出件数の累計が 5,826 件となりました2009 年第 3 四半期の IPA への脆弱性関連情報の届出件数

分類

は、ソフトウェア製品に関するもの 39 件、ウェブアプリケーション（ウェブサイト）に関するもの 131 件、合計 170

届出件数

累計件数

ソフトウェア製品

39 件

994 件

ウェブサイト131 件

4,832 件

170 件

5,826 件件でした（表 1）。

合計

届出受付開始（2004 年 7 月 8 日）からの累計は、ソフトウェア製品に関するもの 994 件、ウェブサイトに関するもの 4,832 件2、合計 5,826 件となりました（表1）。ウェブサイトに関する届出が全体の 83%を占めています（図 5）。2008 年第 3 四半期ごろから DNSの設定不備、SQL インジェクションの脆弱性の届出が増加し、2008 年第 4 四半期に一時的にクロスサ
イト・スクリプティングの届出が激増しましたが、近年はウェブサイトに関する届出が減少傾向です。
1 就業日あたりの届出件数は 2009 年第 3 四半期末で 4.56 件となりました（表 2）。
表 2．届出件数（2004 年 7 月 8 日の届出受付開始から各四半期末時点）
2007/1Q 2008/1Q

2Q

3Q

4Q

2009/1Q

2Q

3Q

累計届出件数[件]

1,310

2,045

2,322

2,885

4,375

5,227

5,656

5,826

１就業日あたり[件/日]

1.95

2.24

2.38

2.79

4.00

4.53

4.66

4.56

ソフトウェア製品
1400
1200

4,315

ソフトウェア製品（累計）

1000

四
半
期
件
数

1430

ウェブサイト

800
400

845

940

1,043

200

465

511

560

626

0

37 96

46

1Q
2007

2Q

95

49

103

3Q

66

80

4Q

5,000
4,000

801

2,084
1,123 1,367

4,832

3,514

ウェブサイト（累計）

600

4,701

1,575

3,000

累

509

2,000 計

386

861

912

955

994

52 244 69 208 54

60

51

43

39

1Q
2008

4Q

1Q
2009

2Q

678

747

2Q

801
3Q

131

1,000 件数

03Q

図5.脆弱性関連情報の届出件数の四半期別推移■ 本件に関するお問い合わせ先
IPA セキュリティセンター 山岸／渡辺
Tel: 03-5978-7527 Fax: 03-5978-7518 E-mail: vuln-inq@ipa.go.jp
JPCERT/CC 情報流通対策グループ

古田

Tel: 03-3518-4600 Fax: 03-3518-4602 E-mail: office@jpcert.or.jp■ 報道関係からのお問い合わせ先IPA 戦略企画部広報グループ 横山／大海Tel: 03-5978-7503 Fax: 03-5978-7510 E-mail: pr-inq@ipa.go.jp
JPCERT/CC 事業推進基盤グループ 広報 江田
Tel: 03-3518-4600 Fax: 03-3518-4602 E-mail: pr@jpcert.or.jp
2

2009/1Qに届けられた4件が他の届出と同一の脆弱性と今四半期に判断したため、2009/1Qの届出件数を4件減らしました。
2

別紙 1

1.ソフトウェア製品の脆弱性の処理状況

表 3．製品の脆弱性の終了件数

2009 年第 3 四半期のソフトウェア製品の脆弱性の処理状況は、

分類

JPCERT/CC が調整を行い、製品開発者が脆弱性の修正を完了し、JVN で対策情報を公表したものが 17 件（累計 384 件）、製品開

修正完了

件数

公表済み 17 件 384 件
個別対応

発者が個別対応を行ったものは 0 件（累計 17 件）、製品開発者が

累計

0件

17 件
35 件

脆弱性ではないと判断したものは 0 件（累計 35 件）、告示で定め脆弱性ではない

0件

る届出の対象に該当せず不受理としたものは 5 件3（累計 148 件）

不受理

5 件 148 件でした。これらの取扱いを終了したものの合計は 22 件（累計 584

合計22 件 584 件

件）です（表 3）。
この他、海外の CSIRT4から JPCERT/CC が連絡を受けた 19 件（累計 441 件）を JVN で公表しました。これらの、公表済み件数の期別推移を図 6 に示します。
国内発見者からの届出
国内発見者からの届出(累計)70

海外のCSIRTからの連絡
海外のCSIRTからの連絡（累計）

60

四
半
期
件
数

50
40
30

238
170

303 328
261
242

357

261

286

193

211

23 23

18 25

31 17

19 25

3Q

4Q

1Q
2Q
2008
2008

274

375
299

407

392
321

422
367

337

441
384

20
10

28 35

13 29

25 18

22 17

16 15

30 15

3Q

4Q

1Q
2Q
2009
2009

17 19

0

1Q
2Q
2007
2007

500
450
400
350
300 累
250 計
200
150 件
100 数
50
0

3Q

図6.ソフトウェア製品の脆弱性対策情報の公表件数
1.1 JVN で公表した主な脆弱性対策情報
今四半期は、「FreeNAS」におけるクロスサイト・リクエスト・フォージェリの脆弱性5、「ATOK」におけるスクリー「SugarCRM」における SQL インジェクションの脆弱性7、「Microsoft Windows」
ンロックの制限回避が可能な脆弱性6、におけるバッファオーバーフローの脆弱性8などの脆弱性対策情報をJVN で公表しました。

1.2 JVN が CVE 互換の認定プロセスに入りました
共通脆弱性識別子 CVE（Common Vulnerabilities and Exposures）9は、個別製品の脆弱性を対象とした識別子です。MITRE 社では、CERT/CC や HP、IBM、OSVDB、Red Hat、Symantec など 80 を超える組織と連携し、脆弱性情報の収集と重複のない採番を行っています。1999 年の運用開始以来、2009
年 9 月 29 日に 10 周年を迎えました。
3

今四半期の届出の中で不受理とした 2 件、前期までの届出の中で今期に不受理とした 3 件の合計です。
Computer Security Incident Response Team。コンピュータセキュリティインシデント対応チーム。コンピュータセ
キュリティに関するインシデント（事故）への対応・調整・サポートをする組織です。
5
本脆弱性の深刻度=レベル III（危険）、CVSS 基本値=7.1、別紙 P.8 表 1-2 項番 2 を参照下さい。
6
本脆弱性の深刻度=レベル III（危険）、CVSS 基本値=7.2、別紙 P.8 表 1-2 項番 3 を参照下さい。
7
本脆弱性の深刻度=レベル II（警告）、CVSS 基本値=6.5、別紙 P.9 表 1-2 項番 10 を参照下さい。
8
本脆弱性の深刻度=レベル II（警告）、CVSS 基本値=6.8、別紙 P.9 表 1-2 項番 11 を参照下さい。
9
脆弱性情報を一意に特定するための標準仕様で、脆弱性に対して共通の識別子（CVE-ID）を付与したリストです。米国の非営利団体の MITRE 社が管理・運用しています。概要は「共通脆弱性識別子 CVE の概説」を参照下
さい。http://www.ipa.go.jp/security/vuln/CVE.html
1
4

IPA と JPCERT/CC が共同で運営している JVN（Japan Vulnerability Notes）10も連携に参画しており「CVE 情報源サイト」の一つとして掲載されています11。CVE との連携の意思を明確に示すため、2008
年 12 月に JVN の「CVE 互換宣言」を行いました。さらに、2009 年 9 月に、「CVE 互換」の認定を受「CVE 互換」がけるため「CVE 互換要件評価フォーム」を MITRE 社へ提出しました12。審査終了後、認定される予定です。
http://cve.mitre.org/compatible/questionnaires/104.html
今後も共通基準の導入を進めることにより、国内外の脆弱性対策情報流通の促進を図ると共に、利用者側の客観的・効率的な脆弱性対策を目指した利活用基盤を整備していきます。

2.ウェブサイトの脆弱性の処理状況
2009 年第 3 四半期のウェブサイトの脆弱性の処理状況は、IPA

表4.ウェブサイトの脆弱性の終了件数が通知を行い、ウェブサイト運営者が修正を完了したものは 235

分類

件（累計 2,223 件）、IPA が注意喚起等を行い処理を終了したもの

修正完了

235 件 2,223 件

注意喚起

328 件

328 件

脆弱性ではない

9件

191 件

連絡不可能

4件

11 件

不受理

15 件

124 件

は 328 件、IPA およびウェブサイト運営者が脆弱性ではないと判断したものが 9 件、ウェブサイト運営者と連絡が不可能なものが4 件、告示で定める届出の対象に該当せず不受理としたものは 15
件13でした。
これらの取扱いを終了したものの合計は 591 件（累計 2,877 件）です（表 4）。これらのうち、修正完了件数の期別推移を図 7 に示

合計

件数

累計

591 件 2,877 件します。
700 ウェブサイト脆弱性の修正完了

ウェブサイト脆弱性の修正完了(累計)

2000

1,508

500

0

2500

1,988

600

四 400
半
300
期
件 200
数 100

2,223

1,133
543

629

655

748

815

1,334

1500 累

978

66

86

26

93

67

1Q
2007

2Q

3Q

4Q

1Q
2008

163

155

2Q

3Q

201

174

4Q

1Q
2009

計
件
500 数

1000

480
235

0

2Q

3Q

図7.ウェブサイトの脆弱性の修正完了件数
2.1 届出のあった対象ウェブサイトの運営主体の内訳と脆弱性の種類
今四半期に脆弱性の届出を受理した 131 件の対象ウェブサイトの運営主体別内訳は、企業合計が 99件（76%）、団体（協会・社団法人）が 13 件（10%）、地方公共団体が 8 件（6%）、個人が 3 件（2%）、
その他、不明が 8 件（6%）（図 8）となっています。
また、これらの脆弱性の種類は、DNS の設定不備（DNS キャッシュポイズニングの脆弱性）が 88
10

脆弱性対策情報ポータルサイト。国内で利用されている製品の脆弱性対策情報を公開し、システムのセキュリティ対策を支援しています。IPA、JPCERT/CC が共同で運営しています。http://jvn.jp/
11
http://cve.mitre.org/data/refs/index.html#sources12
http://cve.mitre.org/compatible/organizations.html#j
13
今期の届出の中で不受理としたものは 0 件、前期までの届出の中で今期に不受理としたものは 15 件です。
2

件（67%）、クロスサイト・スクリプティングが 19 件（15%）、HTTPS の不適切な利用が 6 件（5%）などとなっています（図 9）。
ウェブサイト開発者は脆弱性を作りこまないようなウェブサイトの企画・設計にあたることが必要です。届出件数の多い、広く知れ渡っている脆弱性は悪意のある第三者に発見される可能性も高いです。
企業（株式・上場）

3
企業（株式・非上場） (2%)
8
企業（その他）(6%)
団体
13
地方公共団体
(10%)

8
(6%)

個人

その他、不明

9
(7%)

71
(54%)

19
(15%)

6
3 (4%)
クロスサイト・スクリプティング (2%)
3
HTTPSの不適切な利用(2%)
6
セッション管理の不備(5%)
ファイルの誤った公開
6(5%)
認証に関する不備
DNS情報の設定不備

その他

19
(15%)

企業合計：99(76%)
総数:131件

88(67%)

総数:131件

図8.ウェブサイトの運営主体（2009年3Q）

図9.ウェブサイトの脆弱性の種類（2009年3Q）

2.2 古いバージョンのソフトウェアを使い続けているウェブサイトへの注意喚起を実施
2008 年頃より、ソフトウェア製品を利用しているウェブサイトに対して「製品開発者から既に脆弱性対策を施したバージョンが公表されているにも関わらず、古いバージョンを使い続けている」という旨の届出が増加しています。今四半期には、「EC-CUBE の古いバージョンを利用しているウェブサイト
への注意喚起14」及び「Namazu の古いバージョンを利用しているウェブサイトへの注意喚起15」を実施しました。
クロスサイト・スクリプティングの脆弱性が指摘された古い「EC-CUBE」を利用しているウェブサ
イトに対する届出では、中小規模の企業（株式・上場以外のその他）の占める割合が 92%（図 10）、古い「Namazu」を利用しているウェブサイトに対する届出では、教育・学術機関の占める割合が 16%、
地方公共団体が 27%となっています（図 11）。クロスサイト・スクリプティング全体では、それぞれの占める割合が 45%、5%、17%となっていますので、中小規模の企業、教育・学術機関、地方公共団体
で当該製品を使い続けている割合が高いようです（図 12）。

凡例（図10,11,12）
企業（株式・上場）企業（その他）
教育・学術機関
政府機関
地方公共団体
団体
個人
その他

14
%

8%
92%

2%

14
15

7%
29
%

27
%

17
%

3%

1%

15
%

6%
5%

図10.古い「EC‐CUBE」
を使用

8%

16
%

5%

45
%

図11.古い「Namazu」 図12.クロスサイト・スクリ
を使用
プティング全体の届出

http://www.ipa.go.jp/security/vuln/documents/2009/200907_ec-cube.html
http://www.ipa.go.jp/security/vuln/documents/2009/200908_namazu.html
3この他、今四半期には「OpenSSL の古いバージョンを利用しているウェブサイトへの注意喚起16」も行いました。近年、脆弱性の公表から、その脆弱性を狙った攻撃が発生するまでの間隔が短くなっています。ソフトウェア製品を運用するウェブサイトの運営者も、そのソフトウェア製品を狙った攻撃を受ける可能性や、攻撃が実際の被害に結び付く可能性が高まっています。
ウェブサイト運営者は、自組織のウェブサイトが使用しているソフトウェア製品を把握し、その脆弱性対策情報を収集してください。未対策の脆弱性があった場合、パッチの適用やバージョンアップなどの対策を施して下さい。また、ソフトウェア製品の更新手順をドキュメント化することや、更新確認用のシステムの整備、対策を外部に委託する際の調整など、継続的な対策のための環境を整備することも重要です。

2.3 ウェブサイトを狙った攻撃に関する注意喚起
ウェブサイトを狙った攻撃が継続していることから、2009 年 8 月 17 日にウェブサイト管理者等へウェブサーバのアクセスログ調査およびウェブサイトの脆弱性検査、脆弱性対策の早急な実施を改めて推奨する注意喚起を行いました。
攻撃の現状を把握する実例として、IPA が公開している「脆弱性対策情報データベース JVN iPedia17」について、2009 年 4 月から 7 月までのアクセスログを、IPA が無償で公開している「ウェブサイトの脆
弱性検出ツール iLogScanner18」で解析した事例を公開しましたが、図 13 に示すように 8 月以降も攻撃が継続しています。ウェブサイト管理者は引き続きウェブサイトの脆弱性対策が必要です。

ウェブサイトを狙った攻撃があったと思われる件数
解析対象のウェブサイト：JVN iPedia（脆弱性対策情報データベース）
解析したウェブサーバのアクセスログの期間：2009年4月～9月
攻撃があったと思われる件数：2,738件、攻撃が成功した可能性の高い件数：0件

364
計524件

600

計453件

400
200
0

その他（IDS回避を目的とした攻撃）
OSコマンドインジェクション
クロスサイト・スクリプティング
ディレクトリ・トラバーサル
SQLインジェクション

計974件

1000
（件）
800

計305件
計141件
100

2009年 4月

計341件
119
534

232

287

29
238

186

8月

9月

33

21

5月

6月

7月

218

図13．SQLインジェクション検出ツール「iLogScanner」での解析事例

16

http://www.ipa.go.jp/security/vuln/documents/2009/200909_openssl.html
脆弱性対策情報データベース JVN iPedia（ジェイブイエヌ アイ・ペディア）は、国内で利用されているソフトウェア
を対象にした脆弱性対策情報を網羅・蓄積し、公開しています。http://jvndb.jvn.jp/
18
ウェブサイトの脆弱性検出ツール iLogScanner。http://www.ipa.go.jp/security/vuln/iLogScanner/index.html
4
17

別紙 2

届出のあった脆弱性の処理状況の詳細
1. ソフトウェア製品の脆弱性の処理状況の詳細
1.1 ソフトウェア製品の脆弱性の処理状況
ソフトウェア製品の脆弱性関連情報の届出について、処理状況を図 1-1 に示します。今四半期に公表した脆弱性は 17 件（累計 384 件）です。また、製品開発者が「個別対応」したものは 0
件（累計 17 件）、製品開発者が「脆弱性ではない」と判断したものは 0 件（累計 35 件）、「不受理」としたものは 5 件（累計 148 件）、取扱中は 410 件です。
取扱い終了：465件
2008年
9月末

299

116

16 34

336
合計 801

504件
2008年
12月末

321

132

16 35

(括弧内の数値は、今四半期に「公表」「個別対応」「脆弱性ではない」「不受理」と判断されたものの件数)

合計 861

357

524件
2009年
3月末

337

135

17 35

合計 912

388

562件
2009年
6月末

367

合計 955

393

143

17 35

584件(22件)
2009年
9月末

公表済み 384 (17)17 35(0) (0)不受理
148 (5)

合計
994

取扱い中 410

個別対応 脆弱性ではない

0

200

400

600

800

1000

公表済み

：JVN で脆弱性への対応状況を公表したもの

個別対応：製品開発者からの届出のうち、製品開発者が個別対応したもの

脆弱性ではない：製品開発者により脆弱性ではないと判断されたもの

不受理：告示で定める届出の対象に該当しないもの

取扱い中：製品開発者が調査、対応中のもの

図 1-1.ソフトウェア製品 各時点における脆弱性関連情報の届出の処理状況

1.2 届出られた製品の種類
届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報
994 件のうち、不受理のものを除いた 846 件の製品種類別の内訳を図 1-2 に示します。
図 1-2 に示すように、IPA に届出があった脆弱性には、「ウェブアプリケーションソフト」に関するものが多くあります。
12%

ウェブアプリケーションソフト
ウェブブラウザ

2%
2%
2%
3%
3%

アプリケーション開発・実行環境

45%
(45%)

グループウェア
ルータ
メールソフトウェブサーバ3%

システム管理ソフト

4%(4%)

アンチウイルスソフト
検索システム
OS

7%
(7%)
8%
(8%)

その他
(846件の内訳、グラフの括弧内は前四半期までの数字)

9% (9%)※その他には、周辺機器、ワープロソフト、ファイル管理ソフト、データベース、携帯機器などがあります。

図1-2.ソフトウェア製品の脆弱性 製品種類別内訳(届出受付開始から2009年9月末まで)

5届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報
994 件のうち、不受理のものを除いた 846 件について、オープンソースソフトウェアとそれ以外のソフトウェアの脆弱性の届出件数の推移を図 1-3 に示します。今四半期はオープンソースソフ
トウェアの届出が 9 件ありました。2006 年頃までは上昇傾向でしたが、2008 年以降は徐々に下降して推移しています。
120件
オープンソースソフトウェア

100件

33

それ以外
80件
60件

8
52

40件
20件
0件

74
15
1
15

1
11

4
9

2
16

12
11

19

10
14

19
20

9
25

14

19

24

11

9

20

20

14
14

52
25

32

30

33

29

32

30

21

9
28

3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q
2004
2005
2006
2007
2008
2009

図1-3.オープンソースソフトウェアの脆弱性の届出件数(846件の内訳)

1.3 脆弱性の原因と脅威
届出受付開始から今四半期までに IPA に届出られたソフトウェア製品に関する脆弱性関連情報
994 件のうち、不受理のものを除いた 846 件の原因別19の内訳を図 1-4 に、原因別の届出件数の推移を図 1-5 に、脅威別の内訳を図 1-6 に示します。
図 1-4 に示すように、脆弱性の原因は「ウェブアプリケーションの脆弱性」が最多であり、図1-6 に示すように、脅威についても「任意のスクリプト実行」が最多となっています。この傾向
は図 1-5 に示すように、届出受付開始から割合を増やしつつ続いています。これは、「ウェブアプリケーションソフト」以外のソフトウェア製品であっても、ウェブブラウザから管理、使用するものが多くあり、そこに脆弱性が存在するため、比較的見つけやすい事が理由と考えられます。
13%

4%

ウェブアプリケーションの脆弱性
バッファのチェックの不備

2%
3%
(3%)
3%
(2%)

アクセス制御の不備

66%
(67%)

仕様上の不備
ファイルのパス名、内容のチェックの不備

3%
(3%)
6%
(6%)

セキュリティコンテキストの適用の不備
その他実装上の不備
その他ウェブに関連する不備(846件の内訳、グラフの括弧内は前四半期までの数字)

図1-4.ソフトウェア製品の脆弱性 原因別内訳(届出受付開始から2009年9月末まで)

19

それぞれの脆弱性の詳しい説明については付表 1 を参照してください。

6その他ウェブに関連する不備

120件

その他実装上の不備

100件

セキュリティコンテキストの適用の不備
ファイルのパス名、内容のチェックの不備

80件

仕様上の不備アクセス制御の不備

60件

バッファのチェックの不備
ウェブアプリケーションの脆弱性

40件
20件
0件

3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q
2004
2005
2006
2007
2008
2009

図1-5. ソフトウェア製品の脆弱性 原因別届出件数の推移(届出受付開始から2009年9月末まで)

8%

任意のスクリプトの実行

2%
2%
2%
3%
3%

情報の漏洩
なりすまし
任意のコードの実行
サービス不能4%

任意のコマンドの実行

48%
(49%)

5%
(4%)

アクセス制限の回避
任意のファイルへのアクセス
通信の不正中継6%(6%)

データベースの不正操作
認証情報の漏洩

7%
(7%)

その他

10%
(9%)

(846件の内訳、グラフの括弧内は前四半期までの数字)

図1-6. ソフトウェア製品の脆弱性 脅威別内訳 (届出受付開始から2009年9月末まで)

1.4 ソフトウェア製品の脆弱性情報の調整および公表状況
JPCERT/CC は、表 1-1 に示す 2 種類の脆弱性関連情報について、日本国内の製品開発者等の関係者との調整、および海外 CSIRT20の協力のもと、海外の製品開発者との調整を行っています。
これらの脆弱性関連情報に対する製品開発者の対応状況は、IPA と JPCERT/CC が共同運営している脆弱性対策情報ポータルサイト JVN（Japan Vulnerability Notes）において公表しています。
（URL： http://jvn.jp/ ）表 1-1．脆弱性関連情報の提供元別 脆弱性公表件数
情報提供元
今期
累計
国内の発見者から IPA に届出があったもの、および、製品開発者自身
17 件 384 件①
から自社製品の脆弱性、対策方法について連絡を受けたもの② 海外 CSIRT 等と連携して公表したもの
19 件 441 件
合計
36 件 825 件

20

CSIRT（Computer Security Incident Response Team）は、コンピュータセキュリティに関するインシデント（事故）への対応や調整、サポートをするチームのことです。

7

（1）国内の発見者および製品開発者から届出があり公表した脆弱性
届出受付開始から 2009 年 9 月末までの届出について、脆弱性関連情報の届出（表 1-1 の①）を受理してから製品開発者が対応状況を公表するまでに要した日数を図 1-7 に示します。届出受付開始から各四半期末までの 45 日以内に公表される件数が 35%であり、公表するまでに要した
日数は 2008 年第 3 四半期からほぼ変わらずに推移しています。製品開発者は脆弱性を攻撃された場合の脅威を認識し、迅速な対策を講じる必要があります。

45 日以内の公表件数の割合
2008/3Q まで

2008/4Q まで

2009/1Q まで

2009/2Q まで

2009/3Q まで

32%

32%

33%

34%

35%

35% (45日以内の公表)全体（384件)

24件 36件

40件

103件

21～30日～10日
31～45日11～20日46～100日

0%

10%

34件

20%

30%

81件

24件

101～200日

40%

50%

60%

70%

42件

201～300日

80%

90%

301～日

100%

図1-7. ソフトウェア製品の脆弱性公表日数

表 1-2 に、国内の発見者、製品開発者から届出を受け、今四半期に公表した脆弱性を示します。
オープンソースソフトウェアに関し公表したものが 7 件（表 1-2 の*1）、製品開発者自身から届けられた自社製品の脆弱性が 1 件（表 1-2 の*2）ありました。
表 1-2.2009 年第 3 四半期に JVN で公表した脆弱性
項番脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値

脆弱性の深刻度=レベル III（危険）、CVSS 基本値=7.0～10.
施設予約管理ソフト「yoyaku_v41」には、リクエ
スト処理に問題がありました。このため、2009 年
yoyaku_v41 を設置しているサーバ上で、サーバの7 月 31
権限で任意の OS コマンドを実行される可能性が日ありました。項番 4 で修正された問題とは異なり
ます。

7.5

「FreeNAS」におけるクロ ファイルサーバ OS「FreeNAS」には、クロスサ
スサイト・リクエスト・フ イト・リクエスト・フォージェリの脆弱性がありま2009 年した。このため、当該製品にログインした状態で、2 ォージェリの脆弱性
8月5
悪意あるページを読み込んだ場合、意図せず(*1)
日
FreeNAS の設定を変更されたりデータを削除される可能性がありました。

7.1「ATOK」におけるスクリ 日本語入力システム「ATOK」には、スクリーンローンロックの制限回避が ックの制限を回避可能な脆弱性がありました。この 2009 年
可能な脆弱性ため、ローカルシステムアカウントの権限で、任意 9 月 2のコマンドやプログラムを実行される可能性があ 日
りました。

7.2

1

3

株式会社ディーアイシー
製「yoyaku_v41」における OS コマンド・インジェクションの脆弱性

8

項番

4

脆弱性
株式会社ディーアイシー
製「yoyaku_v41」における OS コマンド・インジェクションの脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値

施設予約管理ソフト「yoyaku_v41」には、リクエ
スト処理に問題がありました。このため、2009 年
yoyaku_v41 を設置しているサーバ上で、サーバの9 月 11
権限で任意の OS コマンドを実行される可能性が日ありました。項番 1 で修正された問題とは異なり
ます。

7.5

脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.0～6.9「shiromuku(fs6)DIARY」 ウェブ日記作成支援ソフト
におけるクロスサイト・ス 「shiromuku(fs6)DIARY」には、ウェブページを出 2009 年
クリプティングの脆弱性 力する際のエスケープ処理に漏れがありました。こ 7 月 14のため、第三者によりウェブページにスクリプトを 日埋め込まれる可能性がありました。

4.3

futomi's CGI Cafe 製
アニメーションカウンターソフト「RevoCounter「RevoCounter CGI (アニ CGI」には、ウェブページを出力する際のエスケー 2009 年
6
メーションカウンター)」 プ処理に漏れがありました。このため、第三者によ 7 月 24(*2)
におけるクロスサイト・ス りウェブページにスクリプトを埋め込まれる可能 日
クリプティングの脆弱性 性がありました。

4.3「MySQL Connector/J」に MySQL データベース用ドライバソフト「MySQL
おける SQL インジェク Connector/J」には、利用者から入力された内容を 2009 年
7
ションの脆弱性
元に SQL 文を組み立てる処理に問題がありまし 7 月 29(*1)
た。このため、第三者により任意の SQL 命令を実 日行される可能性がありました。

6.8「ColdFusion」におけるク ウェブアプリケーション開発ソフト「ColdFusion」
ロスサイト・スクリプティ には、ウェブページを出力する際のエスケープ処理 2009 年
ングの脆弱性に漏れがありました。このため、第三者によりウェ 8 月 19
ブページにスクリプトを埋め込まれる可能性があ 日
りました。

4.3

「サイトカレンダ myGeeklog 用カレンダープラグイン「サイトカレン
caljp」におけるクロスサイ ダ mycaljp」には、ウェブページを出力する際のエ 2009 年
9
ト・スクリプティングの脆 スケープ処理に漏れがありました。このため、第三 8 月 21(*1)
弱性者によりウェブページにスクリプトを埋め込まれ 日る可能性がありました。

4.3「SugarCRM」における 顧客管理システム「SugarCRM」には、利用者から2009 年
10 SQL インジェクションの 入力された内容を元に SQL 文を組み立てる処理
8 月 24に問題がありました。このため、第三者により任意(*1) 脆弱性
日の SQL 命令を実行される可能性がありました。

6.5「Microsoft Windows」に Microsoft Windows の「Windows Media Format
2009 年
おけるバッファオーバー Runtime」には、バッファオーバーフローの脆弱性
9月9
フローの脆弱性がありました。このため、利用者のコンピュータ上日
で任意のコードを実行される可能性がありました。

6.8「XF-Section」におけるク XOOPS 用コンテンツカテゴリ分け機能などのモロスサイト・スクリプティ ジュール「XF-Section」には、ウェブページを出力 2009 年
12
ングの脆弱性する際のエスケープ処理に漏れがあります。このた 9 月 17(*1)
め、第三者によりウェブページにスクリプトを埋め 日込まれる可能性があります。

4.3

5

8

11

9

項番

脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値

13

複数の phpspot 製品にお phpspot が提供する掲示板ソフトウェアなどの複けるクロスサイト・スクリ 数の製品には、ウェブページを出力する際のエスケ 2009 年
プティングの脆弱性
ープ処理に漏れがありました。このため、第三者に 9 月 18よりウェブページにスクリプトを埋め込まれる可 日能性がありました。

4.3

14

複数の phpspot 製品にお phpspot が提供する掲示板ソフトウェアなどの複けるディレクトリ・トラバ 数の製品には、ディレクトリ・トラバーサルの脆弱 2009 年
ーサルの脆弱性性がありました。このため、遠隔の第三者により、 9 月 18
本ソフトが設置されているサーバ内のファイルを 日閲覧される可能性がありました。

5.0

脆弱性の深刻度=レベル I（注意）、CVSS 基本値=0.0～3.9「FreeNAS」におけるクロ ファイルサーバ OS「FreeNAS」には、ウェブペ
2009 年
15 スサイト・スクリプティン ージを出力する際のエスケープ処理に漏れがあり8月5ました。このため、第三者によりウェブページにス(*1) グの脆弱性
日
クリプトを埋め込まれる可能性がありました。

2.6「bingo!CMS core」およ コンテンツ管理システム「bingo!CMS core」および「bingo!CMS」における び「bingo!CMS」には、クロスサイト・リクエスト・
クロスサイト・リクエス フォージェリの脆弱性がありました。このため、当2009 年
16 ト・フォージェリの脆弱性 該製品にログインした状態で、悪意あるページを読8 月 27
み込んだ場合、意図せず bingo!CMS core および(*1)
日bingo!CMS の設定を変更されたり、当該製品で作成したコンテンツを改ざんされる可能性がありま
した。

2.6

「Opera」におけるサード ウェブブラウザ「Opera」には、サードパーティ
2009 年パーティ Cookie の取り Cookie の取り扱いに問題がありました。このた
9 月 17
扱いに関する問題
め、第三者によりアクセス履歴を追跡される可能性
日がありました。

2.6

17(*1)：オープンソースソフトウェア製品の脆弱性(*2)：製品開発者自身から届けられた自社製品の脆弱性

10（2）海外 CSIRT 等と連携して公表した脆弱性
JPCERT/CC が海外 CSIRT 等と連携して公表した脆弱性 19 件には、通常の脆弱性情報 12 件（表1-3）と、対応に緊急を要する Technical Cyber Security Alert（表 1-4）の 7 件が含まれます。こ
れらの情報は、通常関連する登録済み製品開発者へ通知したうえ、JVN に掲載しています。
表 1-3.米国 CERT/CC21等と連携した脆弱性関連情報および対応状況
項

脆弱性

番

対応状況

1

ISC DHCP dhclient におけるバッファオーバーフローの脆弱性

複数製品開発者へ通知

2

XML 署名の検証において認証回避が可能な問題

複数製品開発者へ通知

3

Mozilla Firefox 3.5 に任意のコードが実行される脆弱性

緊急案件として掲載

4

Microsoft Office Web コンポーネントのスプレッドシート ActiveX コ
ントロールに脆弱性緊急案件として掲載

5

Adobe Flash に脆弱性注意喚起として掲載

6

ISC BIND 9 におけるサービス運用妨害 (DoS) の脆弱性緊急案件として掲載

7

複数の XML ライブラリの実装に脆弱性

複数製品開発者へ通知

8

Microsoft Internet Information Services FTP サーバにおけるバッファ
オーバーフローの脆弱性

注意喚起として掲載

9

複数の TCP の実装におけるサービス運用妨害 (DoS) の脆弱性

複数製品開発者へ通知

10

Cyrus IMAPd にバッファオーバーフローの脆弱性

複数製品開発者へ通知

11

Windows SMB version 2 に脆弱性緊急案件として掲載

12

Nginx ngx_http_parse_complex_uri() にバッファアンダーランの脆弱性

複数製品開発者へ通知

表 1-4.米国 US-CERT22と連携した脆弱性関連情報および対応状況
項番

脆弱性

1

Microsoft Video ActiveX コントロールにおけるバッファオーバーフローの脆弱性

2

Microsoft 製品における複数の脆弱性に対するアップデート

3

Adobe Flash Player および他の Adobe 製品に影響を及ぼす Adobe Flash の脆弱性

4

Microsoft Windows、Internet Explorer および Active Template Library (ATL) における脆弱性

5Apple 製品における複数の脆弱性に対するアップデート

6

Microsoft 製品における複数の脆弱性に対するアップデート

7

Microsoft 製品における複数の脆弱性に対するアップデート

21

CERT/Coordination Center。1988 年のウイルス感染事件を契機に米国カーネギーメロン大学に設置された CSIRT。
22
United States Computer Emergency Readiness Team。米国の政府系 CSIRT。

11

2. ウェブサイトの脆弱性の処理状況の詳細
2.1 ウェブサイトの脆弱性の処理状況
ウェブサイトの脆弱性関連情報の届出について、処理状況を図 2-1 に示します。
図 2-1 に示すように、ウェブサイトの脆弱性について、今四半期中に処理を終了したものは 591
件（累計 2,877 件）でした。このうち、「修正完了」したものは 235 件（累計 2,223 件）、ガイド
ライン改訂によりウェブサイトが利用しているソフトウェア製品の修正プログラムが適用されていない問題について、IPA による「注意喚起」で広く対策を促した後、処理を取りやめたものは328 件、IPA およびウェブサイト運営者が「脆弱性ではない」と判断したものは 9 件（累計 191件）でした。なお、メールでウェブサイト運営者と連絡が取れない場合は、電話や郵送手段で連絡を試みたり、レンタルサーバ会社と連絡を試みたりしていますが、それでも、ウェブサイト運
営者から回答がなく「連絡不可能」なものは 4 件(累計 11 件)です。
「不受理」としたものは 15 件
（累計 124 件）でした。
取扱いを終了した累計 2,877 件のうち、「注意喚起」「連絡不可能」「不受理」を除く累計 2,414
件（84%）は、ウェブサイト運営者からの報告もしくは IPA の判断より指摘した点が解消された事を確認しました。
「修正完了」したもののうち、ウェブサイト運営者が当該ページを削除することにより対応したものは 15 件（累計 140 件）、ウェブサイト運営者が運用により被害を回避しているものは 1 件（累計 20 件）でした。
①‐b当該ページ削除
140 (15)(括弧内の数字は、今四半期に「修正完了」「脆弱性で はない」
「連絡不可能」「不受理」と判断されたもの等の件数)①‐c運用で回避
20 (1)

取扱い終了: 1,386件

② 328

7

2008年
9月末

162 841133

合計 2084698

654

1,607件
7

2008年
12月末

167 99

1334

③ 191
(9)

①‐a修正済み
2063 (219)1907④11(4)⑤ 124(15)①修正完了(①‐a＋①‐b＋①‐c)=2,223(235)

合計 3514 2009年9月末 取扱い終了の内訳

1,791件
7

2009年
3月末

1508

172 104

合計 43152524

2,286件
7

2009年
6月末

182 109

1988

合計
4701

2415

2,877(591件)
11

2009年
9月末

①修正完了 2223

0

1000

①修正完了
-a 修正済み-b 該当ページを削除-c 運用で回避②注意喚起③脆弱性ではない④連絡不可能⑤不受理⑥取扱い中

328 191 124

2000

3000

⑥取扱い中 1955

4000

合計
4832
5000

： ウェブサイト運営者により脆弱性が修正されたもの：
修正完了のうち、修正されたと判断したもの：
修正完了のうち、当該ページを削除して対応したもの：
修正完了のうち、運用により被害を回避しているもの： IPA による注意喚起で広く対策を促した後、処理を取りやめたもの： IPA およびウェブサイト運営者が脆弱性はないと判断したもの： ウェブサイト運営者からの回答がなく、取扱いができないもの： 告示で定める届出の対象に該当しないもの： ウェブサイト運営者が調査、対応中のもの

図 2-1.ウェブサイト各時点における脆弱性関連情報の届出の処理状況

12

2.2 ウェブサイトの脆弱性の種類と脅威届出受付開始から今四半期末までに IPA に届出られたウェブサイトの脆弱性関連情報 4,832 件のうち、不受理のものを除いた 4,708 件について、種類別内訳を図 2-2 に、種類別の届出件数の推移を図 2-3 に、脅威別内訳を図 2-4 に示します23。

2%

2%

6%

クロスサイト・スクリプティング
DNS情報の設定不備

2%

(2%)

2%
(2%)

SQLインジェクションHTTPSの不適切な利用ファイルの誤った公開

43%
(44%)

15%
(15%)

HTTPレスポンス分割
ディレクトリ・トラバーサル
その他

28%
(27%)

(4,708件の内訳、グラフの括弧内は前四半期までの数字)

図2-2.ウェブサイトの脆弱性 種類別内訳 (届出受付開始から2009年9月末まで)

1400件

その他
ディレクトリ・トラバーサル

1200件

HTTPレスポンス分割
ファイルの誤った公開
HTTPSの不適切な利用

1000件

SQLインジェクション
DNS情報の設定不備

800件

クロスサイト・スクリプティング

600件

400件

200件

0件

2004

2005

2006

2007

2008

2009

3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q

図2-3.ウェブサイトの脆弱性 種類別届出件数の推移 (届出受付開始から2009年9月末まで)

23

それぞれの脆弱性の詳しい説明については付表 2 を参照してください。

13

2%
3%
4%
(4%)
4%
(4%)

3%

2%

本物サイト上への偽情報の表示
ドメイン情報の挿入
データの改ざん、消去

39% (40%)

Cookie情報の漏洩
個人情報の漏洩15%(15%)

サーバ内ファイルの漏洩
利用者のセキュリティレベルの低下
ウェブキャッシュ情報のすり替え
その他

28% (27%)(4,708の内訳、グラフの括弧内は前四半期までの数字)

図2-4.ウェブサイトの脆弱性 脅威別内訳 (届出受付開始から2009年9月末まで)

前四半期と同様に今四半期も「DNS 情報の設定不備」が多く届出られました（図 2-3）。前四半期から引き続き、届出の多い「クロスサイト・スクリプティング」「DNS 情報の設定不備」「SQL
インジェクション」だけで全体の 86%を占めています。
また「クロスサイト・スクリプティング」「DNS 情報の設定不備」「SQL インジェクション」などにより発生する、「本物サイト上への偽情報の表示」「ドメイン情報の挿入」「データの改ざん、消去」「Cookie 情報の漏洩」が脅威別内訳の 82%を占めています（図 2-4）。

2.3 ウェブサイトの脆弱性の修正状況
届出受付開始から 2009 年 9 月末までの届出の中で、修正完了したもの 2,223 件について、ウェブサイト運営者に脆弱性の詳細情報を通知してから修正されるまでに要した日数およびその傾向を、脆弱性の種類別に図 2-5 および図 2-6 に示します24。全体の 57%の届出が 30 日以内、全体の 79%の届出が 90 日以内に修正されています。
90 日以内の修正件数の割合
2008/1Q まで 2008/2Q まで
77%
81%

2008/3Q まで
80%

2008/4Q まで
83%

2009/1Q まで
80%

2009/2Q まで
79%

2009/3Q まで
79%

79%(90日以内の修正)
クロスサイト・スクリプティング(1053件)

300件

DNS情報の設定不備(482件)
SQLインジェ クショ ン(318件)

250件

ファ イルの誤った公開(63件)
HTTPレスポンス分割(54件)
ディレクトリ・トラバーサル(53件)

200件

その他（200件）

150件
100件
50件
0件
0日

1日

2日

3日

4日
6日
11日 21日 31日 51日 91日 201日 301日～～5日 ～10日 ～20日 ～30日 ～50日 ～90日 ～200日～300日

図2-5.ウェブサイトの修正に要した日数
24

運営者から修正完了の報告があったもの、および、脆弱性が修正されたと IPA で判断したものも含めて示しています。なお、0 日は詳細情報を通知した当日に修正されたもの、または運営者へ詳細情報を通知す
る前に修正されたものです。

14クロスサイト・スクリプティング(1053件)

DNS情報の設定不備(482件)

SQLインジェクション(318件)

ファイルの誤った公開(63件)

HTTPレスポンス分割(54件)

ディレクトリ・トラバーサル(53件)

その他(200件)

0%～10日

11日～20日

21日～30日

20%
31日～50日

40%

60%

80%

51日～90日

91日～200日

201日～300日

100%
301日～

図2-6.ウェブサイトの修正に要した日数の傾向

3. 関係者への要望
脆弱性の修正を促進していくための、各関係者への要望は以下のとおりです。

(1)ウェブサイト運営者
多くのウェブサイトのソフトウェアに脆弱性が発見されています。自身のウェブサイトでどのようなソフトウェアを利用しているかを把握し、脆弱性対策を実施することが必要です。
なお、脆弱性の理解にあたっては、以下のコンテンツが利用できます。
「知っていますか？脆弱性（ぜいじゃくせい）」： http://www.ipa.go.jp/security/vuln/vuln_contents/「安全なウェブサイト運営入門」： http://www.ipa.go.jp/security/vuln/7incidents/(2)製品開発者
JPCERT/CC は、ソフトウェア製品の脆弱性関連情報について、「製品開発者リスト」に基づき、一般公表日の調整等を行います。迅速な調整を進められるよう、「製品開発者リスト」への登録を求めます（URL：http://www.jpcert.or.jp/vh/ ）。また、製品開発者自身で脆弱性を発見、修正された
場合も、利用者への対策情報の周知のために JVN を活用できます。JPCERT/CC もしくは IPA への連絡を求めます。

(3)一般インターネットユーザ
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がける必要があります。脆弱性があるソフトウェアを使い続けることは避けなければなりません。

(4)発見者
脆弱性関連情報の適切な流通のため、届出られた脆弱性関連情報は、脆弱性が修正されるまでの期間は第三者に漏れぬよう、適切に管理することを要望します。

15

付表 1. ソフトウェア製品 脆弱性の原因分類
脆弱性の原因説明

届出において想定された脅威1

設定情報の漏洩通信の不正中継
ア ク セ ス 制 御 の 不 アクセス制御を行うべき個所において、なりすまし
備
アクセス制御が欠如している
任意のスクリプトの実行
認証情報の漏洩2

アクセス制限の回避
価格等の改ざん
サービス不能
資源の枯渇
ウェブアプリケーションに対し、入力さ 重要情報の漏洩れた情報の内容の解釈や認証情報の取扱 情報の漏洩
ウ ェ ブ ア プ リ ケ ー い、出力時の処理に問題がある。
「クロス セッション・ハイジャック
ションの脆弱性
サイト・スクリプティング」攻撃や「SQL 通信の不正中継
インジェクション」攻撃などに利用され なりすましてしまう
任意のコマンドの実行
任意のスクリプトの実行
任意のファイルへのアクセス
認証情報の漏洩3

仕様上の不備4

ウェブブラウザやメールクライアントソ
証 明 書 の 検 証 に 関 フトに証明書を検証する機能が実装され 証明書の確認不能
する不備ていない、または、検証が正しく行われ なりすまし
ずに、偽の証明書を受けいれてしまう

5

アプリケーションの異常終
本来、厳しい制限のあるセキュリティコ
セキュリティコン
了
ンテキストで取り扱うべき処理を、緩いテキストの適用の情報の漏洩
制限のセキュリティコンテキストで処理
不備
任意のコードの実行してしまう
任意のスクリプトの実行

6

想定外の長さの入力が行われた場合に、サービス不能バ ッ フ ァ の チ ェ ッ 長さをチェックせずバッファに入力して任意のコードの実行
クの不備しまう。
「バッファオーバーフロー」攻撃
任意のコマンドの実行に利用されてしまう。

7

処理の際のパラメータとして指定されてアプリケーションの異常終いるディレクトリ名やファイル名、ファ了
イルの内容をチェックしていない。任意
ファイルのパス名、
サービス不能のディレクトリのファイルを指定できて内容のチェックの資源の枯渇
しまい、「ディレクトリ・トラバーサル」
不備
任意のファイルへのアクセ攻撃に利用されてしまう。また、破損しス
たファイルや不正に書き換えられたファ
認証情報の漏洩イルを処理した際に不具合が生じる

RFC 等の公開された規格に準拠して、設 サービス不能
計、実装した結果、問題が生じるもの。 資源の枯渇

16

付表 2 ウェブサイト脆弱性の分類
脆弱性の種類

深刻度

説明

届出において想定された脅威高個人情報の漏洩
一般に公開すべきでないファイルが公開さ サーバ内ファイルの漏れており、自由に閲覧できる状態になって 洩いる
データの改ざん、消去
なりすまし

2

パス名パラメータの未チェック

高ユーザからの入力を処理する際のパラメー
タとして指定されているファイル名を、ユ サーバ内ファイルの漏ーザが変更し、ウェブサーバ上の任意のデ 洩ィレクトリのファイルを指定できてしまう

3

ディレクトリ･トラバーサル

高ウェブサーバ上のディレクトリのアクセス 個人情報の漏洩権を超えて、本来許可されている範囲外の サーバ内ファイルの漏
ディレクトリにアクセスできる洩

4

セッション管理の不備高セッション管理に、推測可能な情報を使用
Cookie 情報の漏洩しているため、他のユーザの情報が容易に
個人情報の漏洩
推測でき、他のユーザになりすまして、サ
なりすましービスを利用することができる

5

SQL インジェクション

高

個人情報の漏洩
入力フォームなどへ SQL コマンド（データサーバ内ファイルの漏
ベースへの命令）を入力し、データベース
洩
内の情報の閲覧、更新、削除などができる
データの改ざん、消去

6

DNS 情報の設定不備

高

DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名の持ち主 ドメイン情報の挿入
であるかのようにふるまえてしまう中

外部の第三者により、他のサーバへのアクセスを中継するサーバとして利用され、不踏み台
正アクセスなどの際にアクセス元を隠すた
めの踏み台にされてしまう中

Cookie 情報の漏洩
サーバ内ファイルの漏
ユーザの Cookie 情報を知らないうちに転 洩送させたり、偽の情報を表示させたりする 個人情報の漏洩
ような罠のリンクをユーザにクリックさ データの改ざん、消去
せ、個人情報等を盗むことができる
なりすまし
本物サイト上への偽情報の表示

中ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそかにア
データの改ざん、消去
クセスさせ、登録情報の変更や商品の購入をさせることができる

中

攻撃者がユーザに対し、悪意のある要求をウェブサーバに送信するように仕向けるこ
ウェブキャッシュ情報とで、ウェブサーバからの応答を分割させのすり替えて応答内容をすり替え、ユーザに対して偽のページを表示させることができる

中

ユーザに対し、ソフトウェアをインストー
ルさせたり、ブラウザのセキュリティレベ 利用者のセキュリティ
ルを下げるよう指示することでクライアン レベルの低下
ト PC のセキュリティ設定を低下させる

中

ウェブサーバに設置したリダイレクタが悪踏み台
意あるリンクへの踏み台にされたり、その本物サイト上への偽情
ウェブサイト上で別のサイト上のページを報の表示表示させられてしまう

1

ファイルの誤った公開7

オープンプロキシ

8

クロスサイト･
スクリプティング

9

クロスサイト・リク
エスト・フォージェ
リ

10

HTTP レスポンス分
割

セキュリティ設定の11
不適切な変更リダイレクタの不適
12
切な利用

17

脆弱性の種類

13

14

深刻度

フィルタリングの回避OS コマンド・インジ
ェクション

15 メールの第三者中継

16

HTTPS の 不 適 切 な
利用

17 価格等の改ざん

届出において想定された脅威説明中

ウェブサイトのサービスやブラウザの機能として提供されているフィルタリング機能 利用者のセキュリティが回避される問題。これにより、本来制限 レベルの低下されるはずのウェブページを閲覧してしま なりすましう

中

攻撃者がウェブアプリケーションを介してウェブサーバの OS コマンドを実行できてしまい、サーバ内ファイルの閲覧やシステ 任意のコマンドの実行
ム操作、不正なプログラムの実行などを行
われてしまう低利用者が入力した内容を管理者が指定した
メールアドレスに送信する機能で、外部のメールシステムの不正利用者が宛先メールアドレスを自由に指定利用できてしまい、迷惑メール送信の踏み台に
悪用される

低

HTTPS による暗号化をしているが、暗号の選択や設定が十分でなかったり、ウェブサ
イトでのユーザへの説明に間違いがある、 なりすまし
または、ウェブサイトの設計上、ユーザから証明書が確認できない

低ショッピングサイトにおいて、価格情報等
が利用者側で書き換えられる。書き換えに データの改ざんよる被害は、ウェブサイト側に限定される

・API: Application Program Interface

・RFC: Request For Comments

・CGI: Common Gateway Interface

・SQL: Structured Query Language

・DNS: Domain Name System

・SSI: Server Side Include

・HTTP: Hypertext Transfer Protocol

・SSL: Secure Socket Layer

・HTTPS: Hypertext Transfer Protocol Security

・TCP: Transmission Control Protocol

・URI: Uniform Resource Identifier・URL: Uniform Resource Locator・ISAKMP : Internet Security Association
・MIME

Key Management Protocol: Multipurpose Internet Mail Extension

付図１．「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み）
脆弱性関連情報流通体制

ユーザ
ユーザー
脆弱性関連
情報届出

ソフトウェア
製品の脆弱性

脆弱性関連
情報通知

脆弱性関連情報の報告された脆弱性
内容確認・検証
関連情報の内容確認

発見者
W e b サイトの脆弱性

受付・分析機関
受付機関
報告された

調整機関

ソフト
開発者等

分析支援機関【期待効果】

脆弱性対策情報ポータル

公表日の決定、
海外の調整機関
との連携等

対応状況等
対応状況
対策方法等
公表公表

システム導入
支援者等

政府
企業
個人

セキュリティ対策推進協議会等

分析機関
脆弱性関連
情報届出

対策情報ポータル

対応状況の集約、
公表日の調整等

産総研など報告された脆弱性
脆弱性関連情報通知
脆弱性関連情報通知
関連情報の検証W e b サイト運営者

Webサイト運営者
検証、対策実施
検証、対策実施

個人情報の漏えい時は事実関係を公表
個人情報漏洩時は事実関係を公表①製品開発者及びウェブサイト運営者による脆弱性対策を促進②不用意な脆弱性関連情報の公表や脆弱性の放置を抑制③個人情報等重要情報の流出や重要システムの停止を予防※IPA：独立行政法人 情報処理推進機構、JPCERT/CC：一般社団法人 JPCERT コーディネーションセンター、産総研：独立行政法人 産業技術総合研究所

18