Japan Computer Emergency Response Team Coordination Center

電子署名者 : Japan Computer Emergency Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku, email=office@jpcert.or.jp, o=Japan Computer Emergency Response
Team Coordination Center, cn=Japan Computer Emergency Response Team Coordination Center
日付 : 2010.02.16 10:09:51 +09'00'

プレスリリース2010 年 1 月 21 日
独立行政法人情報処理推進機構
一般社団法人 JPCERT コーディネーションセンター

ソフトウェア等の脆弱性関連情報に関する届出状況 [2009 年第 4 四半期（10 月～12 月）]～ 2004 年 7 月の届出受付開始から 5 年半が経過し、修正完了件数の累計が 3,000 件に達しました ～IPA（独立行政法人情報処理推進機構、理事長：西垣 浩司）および JPCERT/CC（一般社団法人
JPCERT コーディネーションセンター、代表理事：歌代 和正）は、2009 年第 4 四半期（10 月～12月）の脆弱性関連情報の届出状況1をまとめました。
2004 年 7 月の届出受付開始から 5 年半が経過し、脆弱性関連情報の届出に関して、製品開発者やウェブサイト運営者が修正を完了したものの累計が 3,054 件となりました。このうち、1,000 件は2009 年の 1 年間に修正を完了しています。修正完了件数が年々増加しており、制度として着実に浸透してきています。今後も脆弱性対策を促進する制度として広く活用されることを期待します。
(1)修正完了件数の累計が 3,000 件に達しました
ソフトウェア製品の脆弱性の届出に関して、JPCERT/CC が調整を行い、製品開発者が修正を完了し、2009 年第 4 四半期に JVN2で対策情報を公表したものが 16 件（累計 400 件）でした。
ウェブサイトの脆弱性の届出に関して、IPA が通知を行い、ウェブサイト運営者が 2009 年第 4 四半
期に修正を完了したものが 431 件（累計 2,654 件）でした。
2004 年 7 月の届出受付開始から 5 年半が経過し、修正完了件数の全累計が 3,054 件となりました。
このうち、1,000 件は 2009 年に修正を完了しています。修正完了件数が年々増加しており、制度として着実に浸透してきています。今後も脆弱性対策を促進する制度として広く活用されることを期待します。
(2)脆弱性関連情報の届出状況
2009 年第 4 四半期の IPA への脆弱性関連情報の届出件数

表 1. 2009 年第 4 四半期の届出件数

は、ソフトウェア製品に関するもの 24 件、ウェブアプリケ

分類ーション（ウェブサイト）に関するもの 127 件、合計 151件でした（表 1）。

届出件数

累計件数

ソフトウェア製品

24 件

1,018 件

ウェブサイト127 件

4,959 件

151 件

5,977 件

届出受付開始（2004 年 7 月 8 日）からの累計は、ソフト

合計

ウェア製品に関するもの 1,018 件、ウェブサイトに関するもの 4,959 件、合計 5,977 件となりました（表 1）。ウェブサイトに関する届出が全体の 83%を占めています（図 1）。2008 年第 3 四半期から 2009 年第 2 四半期にかけて DNS の設定不備、SQL インジェク
ションの脆弱性の届出が増加し、2008 年第 4 四半期に一時的にクロスサイト・スクリプティングの届出が激増しました。1 就業日あたりの届出件数は 2009 年第 4 四半期末で 4.47 件となりました（表 2）。
表 2．届出件数（2004 年 7 月 8 日の届出受付開始から各四半期末時点）
2007/1Q 2008/1Q

2Q

3Q

4Q

2009/1Q

2Q

3Q

4Q

累計届出件数[件]

1,310

2,045

2,322

2,885

4,375

5,227

5,656

5,826

5,977

１就業日あたり[件/日]

1.95

2.24

2.38

2.79

4.00

4.53

4.66

4.56

4.47

1

ソフトウェア等の脆弱性関連情報に関する届出制度：経済産業省告示（http://www.meti.go.jp/policy/netsecurity/downloadfiles/vulhandlingG.pdf）に基づき、2004 年 7 月より開始しま
した。IPA は届出受付・分析、JPCERT/CC は国内の製品開発者などの関連組織との調整を行っています。
2
Japan Vulnerability Notes。脆弱性対策情報ポータルサイト。国内で利用されている製品の脆弱性対策情報を公開し、システムのセキュリティ対策を支援しています。IPA、JPCERT/CC が共同で運営しています。http://jvn.jp/

1

ソフトウェア製品
1400
1200

4,315

ソフトウェア製品（累計）

1000

四
半
期
件
数

1430

ウェブサイト

800
400
200
0

845

940

1,043

511

560

626

801

1,575

累

509

2,000 計

386

912

955

994

37 96 46 95 49 103 66 80 52 244 69 208 54

60

51

43

39

1Q
2007

4Q

1Q
2009

2Q

465

2Q

3Q

4Q

1Q
2008

801

747

2Q

3Q

5,000

3,000

861

678

4,959

4,000

2,084
1,123 1,367

4,832

3,514

ウェブサイト（累計）

600

4,701

131

1018
24

127

1,000 件

数

0
3Q

4Q

図1.脆弱性関連情報の届出件数の四半期別推移(3)個人情報を扱っているウェブサイト運営者は包括的な脆弱性対策および設定状況の再確認を
2009 年の一年間に、ウェブサイトに関する脆弱性関連情報の届出が 1,445 件ありました。このうち
SQL インジェクションの脆弱性に関する届出が 168 件あり、その中で、IPA が個人情報を取扱っていると判断した届出3は 103 件（61%）ありました（図 2）。
個人情報を取り扱っているにもかかわらず、発見された SQL インジェクションの脆弱性が放置されたままのウェブサイトが 41 件あります。そのウェブサイト運営主体ごとの割合は、企業が 25 件（61%）、
団体（協会・社団法人）が 8 件（20%）、地方公共団体が 5 件（12%）などとなっています（図 3）。
■ 企業■個人情報取扱有り

個人情報取扱なし
不明
個人情報取扱有り（未対応）
個人情報取扱有り（取扱終了）
8 (5%)

団体
地方公共団体2 (5%)
政府機関
1 (2%)
個人
企業（株式・上場）企業（株式・非上場）企業（その他）

41 (24%)57 (34%)

103
(61%)

5 (12%)
62 (37%)

総数：168件

図2.個人情報取扱の割合

8 (20%)

25 (61%)2 (5%)
14 (34%)9 (22%)

総数：41件図3.SQLインジェクション未対応の割合

その他、2009 年の 1 年間に個人情報が漏えいしているという届出が 6 件ありました。個人情報が漏えいした脆弱性の内訳は、ファイルの誤った公開が 2 件、認証に関する不備が 2 件、セッション管理の不備が 1 件、アクセス制限の回避が 1 件でした。
個人情報などの重要情報を取り扱っているウェブサイトは、個人情報保護法を遵守する観点からも、包括的なウェブサイトの脆弱性対策および設定状況の再確認が必要です。

(4)ソフトウェア製品開発者は認証・認可機能の再確認を
2009 年の一年間に、ソフトウェア製品に関する脆弱性関連情報の届出が 161 件ありました。脆弱性の種類で分類すると、クロスサイト・スクリプティングが 72 件（45%）、認証・認可の不備に関するものが 15 件（9%）、ディレクトリ・トラバーサルが 12 件（7%）などとなっています（図 4）。このうち、
3

IPA では、プライバシーポリシーの記載内容や、住所・氏名等を入力するフォームの有無から、個人情報の取扱有無を判断しました。

2

認証・認可の不備は、重要な情報資産に対するアクセス制御を無効化するもので、特に注意が必要です。
2009 年の一年間に、JVN で脆弱性対策情報を公開したものの中でも、認証・認可の不備に関するものが 11 件（14%）あり、第 2 位となっています（図 5）。
例えば、JVN で公表した「EC-CUBE」における情報漏えいの脆弱性4では、認証の欠落により第三者に顧客情報が閲覧されてしまう可能性がありました。また、「SEIL/B1」の認証処理における脆弱性5では、認証が適切に行われないために、第三者に認証が必要なネットワークにアクセスされる可能性がありました6。製品開発者は、認証・認可の機能を正しく実装する必要があります。
クロスサイト・スクリプティング
認証・認可の不備
ディレクトリ・トラバーサル
バッファオーバーフロー
クロスサイト・リクエスト・フォージェリ
サービス運用妨害（DoS）
SQLインジェクション 36 (22%)
その他
4 (3%)
72 (45%)5 (3%)

クロスサイト・スクリプティング
認証・認可の不備
クロスサイト・リクエスト・フォージェリ
バッファオーバーフロー
7 (9%)SQLインジェクション
サービス運用妨害（DoS）
4 (5%)
ディレクトリ・トラバーサル 4 (5%)
その他
4 (5%)
6 (8%)

8 (5%)
9 (6%)
届出総数：161件

37 (47%)6 (8%)

12 (7%) 15 (9%)

11
(14%)

JVN公開総数：79件

図4. ソフトウェア製品 届出 脆弱性別内訳

図5 .2009年 JVN公開 脆弱性別内訳(5)脆弱性対策情報の収集に JVN をグローバルに活用して頂くことが可能になりました（CVE 互換認定）
共通脆弱性識別子 CVE7は、個別製品中の脆弱性を対象として、米国政府の支援を受けた非営利団体の MITRE 社が採番している識別子です。1999 年の運用開始以来、10 年が経過しました。国内外の脆弱性検査ツールや脆弱性対策情報提供サービスの多くが CVE を利用しています。
この度、JVN、JVN iPedia、MyJVN において、該当する CVE 識別番号が適切に関連付けられていることなどが MITRE 社より認定されました（CVE 互換認定）。
http://www.cve.mitre.org/news/index.html#jan082010a
CVE 互換認定を受けたことにより、CVE を用いた脆弱性対策情報の検索や、脆弱性情報が同じ脆弱性に関するものであるか否かの判断などに、JVN をグローバルに活用して頂くことが可能になりました。
今後も CVE 等の共通基準の導入を進めることにより、国内外の脆弱性対策情報流通の促進を図ると共に、利用者側の客観的・効率的な脆弱性対策を目指した利活用基盤を整備していきます。
■ 本件に関するお問い合わせ先
IPA セキュリティセンター 山岸／渡辺
Tel: 03-5978-7527 Fax: 03-5978-7518 E-mail: vuln-inq@ipa.go.jp
JPCERT/CC 情報流通対策グループ

古田

Tel: 03-3518-4600 Fax: 03-3518-4602 E-mail: office@jpcert.or.jp■ 報道関係からのお問い合わせ先IPA 戦略企画部広報グループ 横山／大海Tel: 03-5978-7503 Fax: 03-5978-7510 E-mail: pr-inq@ipa.go.jp
JPCERT/CC 事業推進基盤グループ 広報 江田
Tel: 03-3518-4600 Fax: 03-3518-4602 E-mail: pr@jpcert.or.jp

4

http://jvn.jp/jp/JVN79762947/index.html
http://jvn.jp/jp/JVN49602378/index.html
6
これらは製品開発者自身からの届出です。利用者に広く対策情報を公開するため JVN が活用されています。
7
Common Vulnerabilities and Exposures。脆弱性情報を一意に特定するための標準仕様で、各脆弱性に対してCVE 識別番号を付与したリスト。概要は次を参照下さい。 http://www.ipa.go.jp/security/vuln/CVE.html
5

3

別紙 1

1.ソフトウェア製品の脆弱性の処理状況
表 3．製品の脆弱性の終了件数

2009 年第 4 四半期のソフトウェア製品の脆弱性の処理状

分類

況は、JPCERT/CC が調整を行い、製品開発者が脆弱性の修正を完了し、JVN で対策情報を公表したものが 16 件（累計修正完了

400 件）、製品開発者が個別対応を行ったものは 0 件（累計件数公表済み 16 件 400 件
0件

17 件

脆弱性ではない

2件

37 件

不受理

3 件 151 件

個別対応17 件）、製品開発者が脆弱性ではないと判断したものは 2 件（累計 37 件）、告示で定める届出の対象に該当せず不受理としたものは 3 件8（累計 151 件）でした。これらの取扱いを累計終了したものの合計は 21 件（累計 605 件）です（表 3）。

合計

21 件 605 件

9

この他、海外の CSIRT から JPCERT/CC が連絡を受けた15 件（累計 456 件）を JVN で公表しました。これらの、公表済み件数の期別推移を図 6 に示します。
国内発見者からの届出
国内発見者からの届出(累計)70

海外のCSIRTからの連絡
海外のCSIRTからの連絡（累計）

60

四
半
期
件
数

50
40
30

286
238 261
193 211170

303 328
242 261

357

375

274

299

407

392
321

337

422

441

367 384

456
400

20
10

28 35 23 23 18 25 31 17 19 25 13 29 25 18 22 17 16 15 30 15 17 19 16 15

0

1Q 2Q
2007
2007

3Q

4Q

1Q 2Q
2008
2008

3Q

4Q

1Q 2Q
2009
2009

3Q

500
450
400
350
300 累
250 計
200
150 件
100 数
50
0

4Q

図6.ソフトウェア製品の脆弱性対策情報の公表件数
1.1 製品開発者自身の脆弱性対策情報の届出状況
製品開発者自身が自社製品に関する脆弱性関連情報を発見し届出を行ったものに関して、今四半期は(1)SEIL/X シリーズおよび SEIL/B1 におけるバッファオーバーフローの脆弱性 10 、
(2)SEIL/X シリーズおよび SEIL/B1 におけるサービス運用妨害 （DoS） の脆弱性11、(3)SEIL/B1の認証処理における脆弱性12、(4)EC-CUBE における情報漏えいの脆弱性13の 4 件（累計 32 件）の脆弱性対策情報を JVN で公表しました。
今後も、利用者への周知のために製品開発者が JVN を活用されることを期待します。

1.2 組込みソフトウェアの脆弱性対策情報の公表状況
組込みソフトウェアに関して、今四半期は 1.1 の(1)～(3)の 3 件の脆弱性対策情報の公表を行い、累計で 26 件となりました（図 7）。
組込みソフトウェアの内訳は、図 8 に示すように、ルータやスイッチなどのネットワーク機器

8

今四半期の届出の中で不受理とした 2 件、前期までの届出の中で今期に不受理とした 1 件の合計です。
Computer Security Incident Response Team。コンピュータセキュリティインシデント対応チーム。コンピュ
ータセキュリティに関するインシデント（事故）への対応・調整・サポートをする組織です。
10
本脆弱性の深刻度=レベル III（危険）、CVSS 基本値=9.3、別紙 P.11 表 1-2 項番 1 を参照下さい。
11
本脆弱性の深刻度=レベル III（危険）、CVSS 基本値=7.8、別紙 P.11 表 1-2 項番 2 を参照下さい。
12
本脆弱性の深刻度=レベル I（注意）、CVSS 基本値=2.6、別紙 P.13 表 1-2 項番 16 を参照下さい。
13
本脆弱性の深刻度=レベル II（警告）、CVSS 基本値=5.0、別紙 P.12 表 1-2 項番 6 を参照下さい。
94

が 10 件、プリンタやハードディスクなどの周辺機器が 6 件、携帯電話や携帯端末などの携帯機器が 5 件、DVD レコーダやネットワークカメラなどの情報家電が 3 件などとなっています。
今後、インターネットに接続される情報家電が増えると、組込みソフトウェアの脆弱性を狙う
攻撃の顕在化が予測されます。組込み機器ではパッチの適用が困難なケースもあり、組込みソフ
トウェアの開発者は、製品の開発段階から脆弱性を作り込まないようなセキュリティの考慮が必
要です。
IP 電話

10

ネットワーク機器
携帯機器
周辺機器
情報家電
累計件数(右目盛)

8

件6
数
4
2
0

26

SSL‐VPNソフト

2

20

20

15

3

12

9

2

6

1

1
1 2

1
1

3

2004

2005

2006

3

2

ネットワーク機器
周辺機器
携帯機器
情報家電
IP 電話
SSL‐VPNソフト

25

1
1

10

4

5

累計件数

12

1
3 1

5
6

0

2007

2008

10

2009

図7.組込みソフトウェアの脆弱性の修正完了件数（12月末現在）

図8.組込みソフトウェアの脆弱性の対象機器
表4.ウェブサイトの脆弱性の終了件数

2.ウェブサイトの脆弱性の処理状況
2009 年第 4 四半期のウェブサイトの脆弱性の処理状況は、
IPA が通知を行い、ウェブサイト運営者が修正を完了したも

分類

件数

累計

修正完了

431 件 2,654 件

注意喚起

791 件 1,119 件

脆弱性ではない

26 件

217 件

が 26 件（累計 217 件）、ウェブサイト運営者と連絡が不可

連絡不可能

5件

16 件

能なものが 5 件（累計 16 件）、告示で定める届出の対象に

不受理

9件

133 件

のが 431 件（累計 2,654 件）、IPA が注意喚起等を行った後に処理を終了したものが 791 件14（累計 1,119 件）、IPA お
よびウェブサイト運営者が脆弱性ではないと判断したもの

該当せず不受理としたものが 9 件15（累計 133 件）でした。

合計

これらの取扱いを終了したものの合計は 1,262 件（累計1,262 件 4,139 件

4,139 件）です（表 4）。これらのうち、修正完了件数の期別推移を図 9 に示します。
700 ウェブサイト脆弱性の修正完了

ウェブサイト脆弱性の修正完了(累計)

2,223

600

0

543

629

655

748

86

26

93

1Q 2Q
2007

3Q

4Q

66

815

978

1,133

2000

1,508

累
計
1000 件
数
500
1500

480
163

155

1Q 2Q
2008

3Q

67

1,334

3000
2500

1,988

500

四 400
半
300
期
件 200
数 100

2,654

201

174

4Q

1Q 2Q
2009

235
431

0

3Q

4Q

図9.ウェブサイトの脆弱性の修正完了件数
14

ウェブサイトで利用されている DNS サーバの既知の脆弱性への注意喚起（http://www.ipa.go.jp/security/vuln/documents/2009/200912_dns.html）
15
今期の届出の中で不受理としたものは 8 件、前期までの届出の中で今期に不受理としたものは 1 件です。

5

2.1 届出のあった対象ウェブサイトの運営主体の内訳と脆弱性の種類
今四半期に IPA に届出のあったウェブサイトの脆弱性関連情報 127 件のうち、不受理のものを除いた 119 件について、対象ウェブサイトの運営主体別内訳は、企業合計が 69 件（58%）、政府
機関が 28 件（24%）、地方公共団体が 7 件（6%）、団体が 6 件（5%）などです（図 10）。
また、これらの脆弱性の種類は、クロスサイト・スクリプティングが 64 件（54%）、SQL イン
ジェクションが 16 件（13%）、ファイルの誤った公開 11 件（9%）、認証に関する不備 6 件（5%）などです（図 11）。
ウェブサイト運営者は脆弱性を作り込まないようなウェブサイトの企画・設計にあたることが必要です。届出件数が多く、広く知れ渡っている脆弱性は悪意のある第三者に発見される可能性も高く、特に注意する必要があります。
企業（株式・上場）
2 4
13
3
企業（株式・非上場）(3%) (11%)
(2%)
6
(2%)
企業（その他）(5%)
政府機関
7
地方公共団体 (6%)
団体
個人
51
教育・学術機関 28
(43%)
不明
(24%)

クロスサイト・スクリプ
ティング
SQLインジェクション

5(4%)

クロスサイト・リクエスト・
フォージェリ
その他

企業合計：69(58%)
総数:119件

113(9%)
3 (3%)(3%)
5

ファイルの誤った公開認証に関する不備

6(5%)

セッション管理の不備

64
(54%)

16
(13%)

11
(9%)

オープンプロキシ

図10.ウェブサイトの運営主体（2009年4Q）(4%)

総数:119件

図11.ウェブサイトの脆弱性の種類（2009年4Q）

2.2 ウェブサイトの脆弱性で 90 日以上対策が未完了のものは 551 件
ウェブサイト運営者から脆弱性を修正した旨の通知が無い場合、IPA は脆弱性が攻撃された場合の脅威を丁寧に解説するなど、1～2 カ月毎に電子メールや電話、郵送などの手段で脆弱性対策を促しています。
未修正のウェブサイトの脆弱性関連情報のうち、IPA からウェブサイト運営者へ脆弱性関連情報を通知してから今四半期までの経過日が 90 日以上経過しているものについて、経過日数毎の件数を図 12 に示します。経過日数が 90 日から 199 日に達したものは 92 件、200 日から 299 日のものは 144 件など、これらの合計は 551 件（前四半期は 1,125 件）です。前四半期のものは 591件減少し、今四半期で新たに 17 件が 90 日以上となったため 574 件減少しました。
ウェブサイトの情報が盗まれてしまう可能性のある SQL インジェクションのように、深刻度の高い脆弱性でも修正が長期化しているものがあります。ウェブサイト運営者は脆弱性を攻撃された場合の脅威を認識し、迅速な対策を講じる必要があります。
160
140
120
100
件 80
数 60
40
20
0

その他

144
10

92

32

12

110
7
21

26

SQLインジェクション
クロスサイト・スクリプティング

73
12

102

82

41

34
27

3
2
22

400～
499日

500～
599日

600～
699日

54

90～
199日

200～
299日

300～
399日

27

22
4
15

22
5
6
11
700～
799日

8

1
4
3
800～
899日

12

2
2
8
900～
999日

22
7
9
6
1000日
以上

図12．修正が長期化しているウェブサイトの未修正の経過日数と脆弱性の種類
6

なお、脆弱性関連情報の取扱いの効率化を図るため、2009 年 7 月 8 日の「情報セキュリティ早期警戒パートナーシップガイドラインの改訂16」で、このような一定期間にわたり的確な答えが無い場合は、その脆弱性の影響範囲や取扱期間を考慮し、1 年以上経過したものから順次取扱を終了します。

2.3 ウェブサイトを狙った攻撃に関する注意喚起
ウェブサイトを狙った攻撃が継続していることから、IPA は 2009 年 8 月 17 日にウェブサイト
管理者等へウェブサーバのアクセスログ調査およびウェブサイトの脆弱性検査、および脆弱性対策の早急な実施を推奨する注意喚起を行いました17。
攻撃の現状を把握する実例として、IPA が無償で公開している「SQL インジェクション検出ツール iLogScanner18」で、IPA が公開している「脆弱性対策情報データベース JVN iPedia19」の 2009
年 4 月から 7 月までのアクセスログを解析した事例を示しましたが、図 13 に示すように 8 月以降も攻撃が継続しています。
2009 年の 1 年間では、2008 年頃から急増している SQL インジェクション攻撃20が 46%、ウェ
ブサーバのパスワードファイルや環境設定ファイル21の情報を狙ったディレクトリ・トラバーサ
ル攻撃が 38%を占めています。ウェブサイト管理者は引き続きウェブサイトの脆弱性対策が必要です。

ウェブサイトを狙った攻撃があったと思われる件数
解析対象のウェブサイト：JVN iPedia（脆弱性対策情報データベース）
解析したウェブサーバのアクセスログの期間：2009年1月～12月
攻撃があったと思われる件数：5,827件、攻撃が成功した可能性の高い件数：0件
（件）

1200
1000
800
600

その他（IDS回避を目的とした攻撃）
OSコマンドインジェクション
クロスサイト・スクリプティング
986
ディレクトリ・トラバーサル
SQLインジェクション

707

0

239

528

66

501

731

364

400
200

1,105

205
105
69

305
151

141

59
59

100
21

232

366
119
287

33

453
655
218

534
244

186

149
113

576
58

2009年 1月 2月 3月 4月 5月 6月 7月 8月 9月 10月 11月 12月
図13．SQLインジェクション検出ツール「iLogScanner」での解析事例
16

情報セキュリティ早期警戒パートナーシップガイドライン。
http://www.ipa.go.jp/security/ciadr/partnership_guide.html
17「ウェブサイトを狙った攻撃に関する注意喚起」を参照下さい。
http://www.ipa.go.jp/security/vuln/documents/2009/200908_attack.html
18
ウェブサイトの脆弱性検出ツール iLogScanner。
http://www.ipa.go.jp/security/vuln/iLogScanner/index.html
19
脆弱性対策情報データベース JVN iPedia（ジェイブイエヌ アイ・ペディア）は、国内で利用されているソフト
ウェアを対象にした脆弱性対策情報を網羅・蓄積し、公開しています。http://jvndb.jvn.jp/
202008 年 5 月 15 日に発行した「SQL インジェクション攻撃に関する注意喚起」を参照下さい。
http://www.ipa.go.jp/security/vuln/documents/2008/200805_SQLinjection.html
21
具体的には、passwd ファイル、environ ファイル、resolv.con ファイルなど。

7

別紙 2

届出のあった脆弱性の処理状況の詳細
1. ソフトウェア製品の脆弱性の処理状況の詳細
1.1 ソフトウェア製品の脆弱性の処理状況
ソフトウェア製品の脆弱性関連情報の届出について、処理状況を図 1-1 に示します。今四半期に公表した脆弱性は 16 件（累計 400 件）です。また、製品開発者が「個別対応」したものは 0
件（累計 17 件）、製品開発者が「脆弱性ではない」と判断したものは 2 件（累計 37 件）、「不受理」としたものは 3 件（累計 151 件）、取扱中は 413 件です。
取扱い終了：504件
2008年
12月末

321

2009年
3月末

337

16 35

132

357
合計 861

135

388

524件
17 35

(括弧内の数値は、今四半期に「公表」「個別対応」「脆弱性ではない」「不受理」と判断されたものの件数)

合計 912

562件
2009年
6月末

367

17 35

143

合計 955

393

584件
2009年
9月末

384

17 35

148

合計 994410

605件(21件)
2009年
12月末

公表済み 400 (16)17 37 不受理(0) (2)

合計
1018

取扱い中 413

151 (3)

個別対応 脆弱性ではない

0

200

400

600

800

1000

公表済み

：JVN で脆弱性への対応状況を公表したもの

個別対応：製品開発者からの届出のうち、製品開発者が個別対応したもの

脆弱性ではない：製品開発者により脆弱性ではないと判断されたもの

不受理：告示で定める届出の対象に該当しないもの

取扱い中：製品開発者が調査、対応中のもの

図 1-1.ソフトウェア製品 各時点における脆弱性関連情報の届出の処理状況

1.2 届出のあったソフトウェア製品の種類
届出受付開始から今四半期までに IPA に届出のあったソフトウェア製品に関する脆弱性関連情報 1,018 件のうち、不受理のものを除いた 867 件の製品種類別の内訳を図 1-2 に示します。
図 1-2 に示すように、IPA に届出のあった脆弱性には、「ウェブアプリケーションソフト」に関するものが多くあります。
12%

ウェブアプリケーションソフト
ウェブブラウザ

2%
2%
2%
3%
3%
3%

アプリケーション開発・実行環境

46%
(45%)

グループウェア
ルータ
メールソフトウェブサーバシステム管理ソフト

5%(4%)

アンチウイルスソフト
OS

6%
(7%)

検索システム

7%
(8%)

その他
(867件の内訳、グラフの括弧内は前四半期までの数字)

9% (9%)※その他には、周辺機器、ワープロソフト、ファイル管理ソフト、データベース、携帯機器などがあります。

図1-2.ソフトウェア製品の脆弱性 製品種類別内訳(届出受付開始から2009年12月末まで)

8

届出受付開始から今四半期までに IPA に届出のあったソフトウェア製品に関する脆弱性関連情報 1,018 件のうち、不受理のものを除いた 867 件について、オープンソースソフトウェアとそれ以外のソフトウェアの脆弱性の届出件数の推移を図 1-3 に示します。今四半期はオープンソース
ソフトウェアの届出が 10 件ありました。2006 年頃までは上昇傾向でしたが、2008 年以降は徐々に減少しつつ推移しています。
120件
オープンソースソフトウェア

100件

33

それ以外

80件
60件

8
52

40件
20件
0件

74
15
1
15

1
11

4
9

2
16

12
11

19

10
14

9

19
20

25

14

19

11

25

32

24
52

9
30

33

20
29

20
30

14
32

14

8

21

28

10
12

3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q
2004
2005
2006
2007
2008
2009

図1-3.オープンソースソフトウェアの脆弱性の届出件数(867件の内訳)

1.3 脆弱性の原因と脅威
届出受付開始から今四半期までに IPA に届出のあったソフトウェア製品に関する脆弱性関連情報 1,018 件のうち、不受理のものを除いた 867 件の原因別22の内訳を図 1-4 に、原因別の届出件数の推移を図 1-5 に、脅威別の内訳を図 1-6 に示します。
図 1-4 に示すように、脆弱性の原因は「ウェブアプリケーションの脆弱性」が最も多く、図 1-6に示すように、脅威については「任意のスクリプト実行」が最も多いです。この傾向は図 1-5 に示すように、届出受付開始から割合を増やしつつ続いています。これは、「ウェブアプリケーショ
ンソフト」以外のソフトウェア製品でも、ウェブブラウザから管理、使用するものが多くあり、そこに脆弱性が存在するため、比較的見つけやすい事が理由と考えられます。

4%

ウェブアプリケーションの脆弱性

12%バッファのチェックの不備

2%

仕様上の不備

3%
(3%)
3%
(3%)
3%
(3%)
6%
(6%)

67%
(66%)

アクセス制御の不備
ファイルのパス名、内容のチェックの不備
セキュリティコンテキストの適用の不備
その他実装上の不備
その他ウェブに関連する不備(867件の内訳、グラフの括弧内は前四半期までの数字)

図1-4.ソフトウェア製品の脆弱性 原因別内訳(届出受付開始から2009年12月末まで)

22

それぞれの詳しい脆弱性の原因の説明については付表 1 を参照してください。

9

120件

その他ウェブに関連する不備
その他実装上の不備

100件

セキュリティコンテキストの適用の不備
ファイルのパス名、内容のチェックの不備

80件
60件

アクセス制御の不備
仕様上の不備
バッファのチェックの不備

40件

ウェブアプリケーションの脆弱性

20件
0件
3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q
2004
2005
2006
2007
2008
2009

図1-5. ソフトウェア製品の脆弱性 原因別届出件数の推移(届出受付開始から2009年12月末まで)
8%

任意のスクリプトの実行

2%
2%
2%
3%
3%

情報の漏洩
なりすまし
任意のコードの実行
サービス不能4%

任意のコマンドの実行

48%
(48%)

5%
(5%)

アクセス制限の回避
任意のファイルへのアクセス
データベースの不正操作

6%
(6%)

通信の不正中継
認証情報の漏洩

8%
(7%)

その他

9%
(10%)

(867件の内訳、グラフの括弧内は前四半期までの数字)

図1-6. ソフトウェア製品の脆弱性 脅威別内訳 (届出受付開始から2009年12月末まで)

1.4 ソフトウェア製品の脆弱性情報の調整および公表状況
JPCERT/CC は、表 1-1 に示す 2 種類の脆弱性関連情報について、日本国内の製品開発者等の関係者との調整、および海外 CSIRT の協力のもと海外の製品開発者との調整を行っています。これらの脆弱性関連情報に対する製品開発者の対応状況は、IPA と JPCERT/CC が共同運営している脆弱性対策情報ポータルサイト JVN（Japan Vulnerability Notes）において公表しています。
（URL： http://jvn.jp/ ）表 1-1．脆弱性関連情報の提供元別 脆弱性公表件数
情報提供元
今期
累計
国内の発見者から IPA に届出があったもの、および、製品開発者自身
16 件 400 件①
から自社製品の脆弱性、対策方法について届出を受けたもの② 海外 CSIRT 等と連携して公表したもの
15 件 456 件
合計
31 件 856 件（1）国内の発見者および製品開発者から届出があり公表した脆弱性
届出受付開始から今四半期までに届出のあったソフトウェア製品の脆弱性関連情報（表 1-1 の①）について、受理してから対応状況を JVN 公表するまでに要した日数を図 1-7 に示します。届出受付開始から各四半期末までの 45 日以内に公表される件数が 35%であり、徐々に割合が増えていますが、公表までに時間を要している割合が多いです。製品開発者は脆弱性を攻撃された場合の脅威を認識し、迅速な対策を講じる必要があります。
10

45 日以内の公表件数の割合
2008/3Q まで

2008/4Q まで

2009/1Q まで

2009/2Q まで

2009/3Q まで

2009/4Q まで

32%

32%

33%

34%

35%

35%

35% (45日以内の公表)

全体（400件)

28件 36件

35件

42件

105件

82件

24件

48件

～10日 11～
20日

21～
30日

31～45日46～100日

101～200日

201～
300日

301日～

20%

30%

0%

10%

40%

50%

60%

70%

80%

90%

100%

図1-7. ソフトウェア製品の脆弱性公表日数
表 1-2 に、国内の発見者、製品開発者から届出を受け、今四半期に公表した脆弱性を示します。
オープンソースソフトウェアに関し公表したものが 6 件（表 1-2 の*1）、製品開発者自身から届けられた自社製品の脆弱性が 4 件（表 1-2 の*2）、複数開発者・製品に影響がある脆弱性が 1 件（表1-2 の*3）、組込みソフトウェア製品の脆弱性が 3 件（表 1-2 の*4）ありました。
表 1-2.2009 年第 4 四半期に JVN で公表した脆弱性
項番脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値

脆弱性の深刻度=レベル III（危険）、CVSS 基本値=7.0～10.
「SEIL/X シリーズ」およ ルータ製品「SEIL/X シリーズ」および「SEIL/B1」
2009 年
1
び「SEIL/B1」におけるバ には、バッファオーバーフローの脆弱性がありま
（*2）
10 月
ッファオーバーフローの した。このため、当該製品上で任意のコードを実
（*4）
28 日
脆弱性
行される可能性がありました。

9.3「SEIL/X シリーズ」およ ルータ製品「SEIL/X シリーズ」および「SEIL/B1」
び「SEIL/B1」におけるサには、サービス運用妨害 (DoS) の脆弱性があり 2009 年
2（*2） ービス運用妨害 (DoS)
ました。このため、遠隔の第三者により細工され 10 月（*4） の脆弱性たパケットを送られることで、サービス不能状態 28 日になる可能性がありました。

7.8

脆弱性の深刻度=レベル II（警告）、CVSS 基本値=4.0～6.9
キヤノン IT ソリューショ ウェブセキュリティゲートウェイ製品「ACCESSGUARDIAN」には、ウェブページを出ンズ製
2009 年「ACCESSGUARDIAN」 力する際のエスケープ処理に漏れがありました。
10 月
におけるクロスサイト・ このため、第三者によりウェブページにスクリプ
20 日
スクリプティングの脆弱 トを埋め込まれる可能性がありました。
性4.3

IPv6 を実装した複数の IPv6 を実装した複数の製品には、サービス運用妨
2009 年
製品にサービス運用妨害 害 (DoS) の脆弱性がありました。このため、第4
10 月（*3） (DoS) の脆弱性
三者により大量のパケットを送られることで、サ
26 日ービス不能状態になる可能性がありました。

5.7「Redmine」におけるク プロジェクト管理ソフト「Redmine」には、ウェロスサイト・スクリプテ ブページを出力する際のエスケープ処理に漏れが 2009 年
5
ィングの脆弱性ありました。このため、第三者によりウェブペー 11 月 19（*1）
ジにスクリプトを埋め込まれる可能性がありまし 日
た。

4.0

3

11

項番

脆弱性

セキュリティ上の問題点

JVN

CVSS

公表日 基本値「EC-CUBE」における情 ショッピングサイト構築ソフト「EC-CUBE」には、2009 年
6
報漏えいの脆弱性
情報漏えいの脆弱性がありました。このため、遠（*1）
12 月 7
隔の第三者により当該製品に保存されている顧客（*2）
日
情報が漏えいする可能性がありました。

5.0

7「Active! mail 2003」にお ウェブメールソフト「Active! mail 2003」には、けるクロスサイト・スク ウェブページを出力する際のエスケープ処理に漏 2009 年
リプティングの脆弱性
れがありました。このため、第三者によりウェブ 12 月 8
ページにスクリプトを埋め込まれる可能性があり 日
ました。

4.3

8

「Active! mail 2003」にお ウェブメールソフト「Active! mail 2003」には、2009 年
けるセッション ID 漏え セッション ID 漏えいの脆弱性がありました。こ
12 月 8いの脆弱性のため、遠隔の第三者により当該製品のユーザに
日なりすまされる可能性がありました。

4.0

9「Active! mail 2003」にお ウェブメールソフト「Active! mail 2003」には、2009 年
ける Cookie 漏えいの脆 Cookie 漏えいの脆弱性がありました。このため、12 月 8
弱性遠隔の第三者により当該製品のユーザになりすま日される可能性がありました。

4.0

10

「P forum」におけるディ 電子掲示板ソフト「P forum」には、ディレクトリ・
レクトリ・トラバーサル トラバーサルの脆弱性がありました。このため、 2009 年の脆弱性
遠隔の第三者により当該製品が設置されているサ 12 月
ーバ内のファイルが閲覧される可能性がありまし 15 日
た。

5.0

脆弱性の深刻度=レベル I（注意）、CVSS 基本値=0.0～3.9「SugarCRM」における 顧客管理システム「SugarCRM」には、ウェブペ
2009 年
クロスサイト・スクリプ ージを出力する際のエスケープ処理に漏れがあり
1110 月 2（*1） ティングの脆弱性ました。このため、第三者によりウェブページに日スクリプトを埋め込まれる可能性がありました。

2.6

複数のサイボウズ製品に 複数のサイボウズ製品には、ウェブページを出力
2009 年
おけるクロスサイト・ス する際のエスケープ処理に漏れがありました。こ10 月
クリプティングの脆弱性 のため、第三者によりウェブページにスクリプト
15 日を埋め込まれる可能性がありました。

2.6

12

「Roundcube Webmail」
におけるクロスサイト・
13 リクエスト・フォージェ（*1） リの脆弱性

ウェブメールソフト「Roundcube Webmail」には、
クロスサイト・リクエスト・フォージェリの脆弱2009 年性がありました。項番 14 で修正された問題とは
11 月 4
異なります。このため、当該製品にログインした
日状態で、悪意あるページを読み込んだ場合、意図せず情報が登録される可能性がありました。

2.6「Roundcube Webmail」
におけるクロスサイト・
14 リクエスト・フォージェ（*1） リの脆弱性

ウェブメールソフト「Roundcube Webmail」には、
クロスサイト・リクエスト・フォージェリの脆弱2009 年性がありました。項番 13 で修正された問題とは
11 月 4
異なります。このため、当該製品にログインした
日状態で、悪意あるページを読み込んだ場合、意図せずメールが送信される可能性がありました。

2.6「Redmine」におけるクロスサイト・リクエス
15 ト・フォージェリの脆弱（*1） 性プロジェクト管理ソフト「Redmine」には、クロスサイト・リクエスト・フォージェリの脆弱性が2009 年ありました。このため、当該製品にログインした
11 月 19
状態で、悪意あるページを読み込んだ場合、意図日せず任意のチケットを削除される可能性がありま
した。

2.6

12

項番

脆弱性

JVN

セキュリティ上の問題点

CVSS

公表日 基本値「SEIL/B1」の認証処理に ルータ製品「SEIL/X シリーズ」および「SEIL/B1」には、機能の実装上の問題により認証が適切に行 2009 年
16 おける脆弱性（*2）
われない脆弱性がありました。このため、第三者 12 月 9（*4）
により認証が必要なネットワークにアクセスされ 日る可能性がありました。

2.6（*1）：オープンソースソフトウェア製品の脆弱性（*2）：製品開発者自身から届けられた自社製品の脆弱性（*3）：複数開発者・製品に影響がある脆弱性（*4）：組込みソフトウェアの脆弱性（2）海外 CSIRT 等と連携して公表した脆弱性
JPCERT/CC が海外 CSIRT 等と連携して公表した脆弱性 15 件には、通常の脆弱性情報 9 件（表1-3）と、対応に緊急を要する Technical Cyber Security Alert（表 1-4）の 6 件が含まれます。こ
れらの情報は、通常関連する登録済み製品開発者へ通知したうえ、JVN に掲載しています。
表 1-3.米国 CERT/CC23等と連携した脆弱性関連情報および対応状況
項

脆弱性

番

対応状況

1

Wireshark の erf ファイル処理に脆弱性

2

Adobe Reader および Acrobat の複数の JavaScript メソッドに脆弱
注意喚起として掲載
性3

SSL および TLS プロトコルに脆弱性

複数製品開発者へ通知

4

Microsoft Internet Explorer に脆弱性緊急案件として掲載

5

複数の SSL VPN (Web VPN) 製品においてウェブブラウザのセキュ
複数製品開発者へ通知
リティが迂回される問題

6

BIND 9 の DNSSEC 検証処理における脆弱性

複数製品開発者へ通知

7

NTP におけるサービス運用妨害 (DoS) の脆弱性

複数製品開発者へ通知

8

Indeo コーデックに複数の脆弱性

注意喚起として掲載

9

Adobe Reader および Acrobat における解放済みメモリを使用する
緊急案件として掲載
脆弱性

注意喚起として掲載

表 1-4.米国 US-CERT24と連携した脆弱性関連情報および対応状況
項番

脆弱性

1

Adobe Reader および Acrobat における複数の脆弱性に対するアップデート

2

Microsoft 製品における複数の脆弱性に対するアップデート

3Oracle 製品における複数の脆弱性に対するアップデート

4

Microsoft 製品における複数の脆弱性に対するアップデート

5

Microsoft 製品における複数の脆弱性に対するアップデート

6

Adobe Flash に複数の脆弱性

23

CERT/Coordination Center。1988 年のウイルス感染事件を契機に米国カーネギーメロン大学に設置された CSIRT。
24
United States Computer Emergency Readiness Team。米国の政府系 CSIRT。

13

2. ウェブサイトの脆弱性の処理状況の詳細
2.1 ウェブサイトの脆弱性の処理状況
ウェブサイトの脆弱性関連情報の届出について、処理状況を図 2-1 に示します。
図 2-1 に示すように、ウェブサイトの脆弱性について、今四半期中に処理を終了したものは
1,262 件（累計 4,139 件）でした。このうち、「修正完了」したものは 431 件（累計 2,654 件）、
ウェブサイトが利用しているソフトウェア製品の修正プログラムが適用されていない問題について、IPA による「注意喚起」で広く対策を促した後、処理を取りやめたものは 791 件（累計 1,119件）、IPA およびウェブサイト運営者が「脆弱性ではない」と判断したものは 26 件（累計 217 件）でした。なお、メールでウェブサイト運営者と連絡が取れない場合は、電話や郵送手段で連絡を試みるなどの対応をしていますが、それでも、ウェブサイト運営者と連絡が取れず「連絡不可能」
なものは 5 件（累計 16 件）です。「不受理」としたものは 9 件（累計 133 件）でした。
取扱いを終了した累計 4,139 件のうち、「注意喚起」「連絡不可能」「不受理」を除く累計 2,871
件（69%）は、ウェブサイト運営者からの報告もしくは IPA の判断より指摘した点が解消された事を確認しました。
「修正完了」したもののうち、ウェブサイト運営者が当該ページを削除することにより対応したものは 61 件（累計 201 件）、ウェブサイト運営者が運用により被害を回避しているものは 1 件（累計 21 件）でした。
①‐c運用で回避(括弧内の数字は、今四半期に「修正完了」「脆弱性ではない」
21 (1)「連絡不可能」「不受理」と判断されたもの等の件数)①‐b当該ページ削除

201(61)②
1119 (791)

③ 217
(26)

366
取扱い終了: 1,670件

2432 (369)

7

2008年
12月末

1334

④16(5)①‐a修正済み167 99

⑤ 133
(9)

1907

①修正完了(①‐a＋①‐b＋①‐c)=2654(431)

1,791件

合計 35142009年12月末 取扱い終了の内訳

2524

合計 4315

7

2009年
3月末

1508

172 104

2,286件
7

2009年
6月末

1988

182 109

合計 47012415

2,877件
11

2009年
9月末

2223

328 191 124

合計 4832

1955

4,139(1,262件)
2009年
12月末

16

①修正完了 2654

②注意喚起
1119

⑥取扱い中
217 133
820

1000

3000

4000

0
①修正完了
-a 修正済み-b 該当ページを削除-c 運用で回避②注意喚起③脆弱性ではない④連絡不可能
⑤不受理
⑥取扱い中

2000

合計 4959

5000： ウェブサイト運営者により脆弱性が修正されたもの：
修正完了のうち、修正されたと判断したもの：
修正完了のうち、当該ページを削除して対応したもの：
修正完了のうち、運用により被害を回避しているもの： IPA による注意喚起で広く対策を促した後、処理を取りやめたもの： IPA およびウェブサイト運営者が脆弱性はないと判断したもの： ウェブサイト運営者からの回答がなく、取扱いができないもの： 告示で定める届出の対象に該当しないもの： ウェブサイト運営者が調査、対応中のもの

図 2-1.ウェブサイト各時点における脆弱性関連情報の届出の処理状況
14

2.2 ウェブサイトの脆弱性の種類と脅威届出受付開始から今四半期までに IPA に届出のあったウェブサイトの脆弱性関連情報 4,959 件のうち、不受理のものを除いた 4,826 件について、種類別内訳を図 2-2 に、種類別の届出件数の推移を図 2-3 に、脅威別内訳を図 2-4 に示します25。
8%

クロスサイト・スクリプティング

2%
2%

DNS情報の設定不備

(2%)

3%
(2%)

SQLインジェクション
ファイルの誤った公開

43%
(43%)

15%
(15%)

HTTPSの不適切な利用
HTTPレスポンス分割
その他

27%
(28%)

(4,826件の内訳、グラフの括弧内は前四半期までの数字)

図2-2.ウェブサイトの脆弱性 種類別内訳 (届出受付開始から2009年12月末まで)

1400件

その他
HTTPレスポンス分割

1200件

HTTPSの不適切な利用ファイルの誤った公開

1000件

SQLインジェクション
DNS情報の設定不備

800件

クロスサイト・スクリプティング

600件

400件

200件

0件
3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q
2004

2005

2006

2007

2008

2009

図2-3.ウェブサイトの脆弱性 種類別届出件数の推移 (届出受付開始から2009年12月末まで)

25

それぞれの脆弱性の詳しい説明については付表 2 を参照してください。

15

4%
(4%)
4%
(4%)

3%

2%

2%

2%

本物サイト上への偽情報の表示
ドメイン情報の挿入
データの改ざん、消去

40%
(39%)

15%
(15%)

Cookie情報の漏洩
個人情報の漏洩
サーバ内ファイルの漏洩
利用者のセキュリティレベルの低下
ウェブキャッシュ情報のすり替え
なりすまし

28%
(28%)

(4,826件の内訳、グラフの括弧内は前四半期までの数字)

図2-4.ウェブサイトの脆弱性 脅威別内訳 (届出受付開始から2009年12月末まで)

届出の多い「クロスサイト・スクリプティング」「DNS 情報の設定不備」「SQL インジェクション」だけで全体の 85%を占めています（図 2-2）。2008 年第 3 四半期から 2009 年第 3 四半期にかけて多く届出のあった「DNS 情報の設定不備」は、今四半期は届出がありませんでした（図 2-3）。
また「クロスサイト・スクリプティング」「DNS 情報の設定不備」「SQL インジェクション」などにより発生する、「本物サイト上への偽情報の表示」「ドメイン情報の挿入」「データの改ざん、消去」「Cookie 情報の漏洩」が脅威別内訳の 87%を占めています（図 2-4）。

2.3 ウェブサイトの脆弱性の修正状況
届出受付開始から今四半期までの届出の中で、修正完了したもの 2,654 件について、ウェブサ
イト運営者に脆弱性の詳細情報を通知してから修正されるまでに要した日数およびその傾向を、
脆弱性の種類別に図 2-5 および図 2-6 に示します26。全体の 51%の届出が 30 日以内、全体の 72%の届出が 90 日以内に修正されています。
90 日以内の修正件数の割合
2008/1Q まで 2Q まで
3Q まで
77%
81%
80%

4Q まで
83%

2009/1Q まで
80%

2Q まで
79%

3Q まで
79%

4Q まで
72%

72%(90日以内の修正)
クロスサイト・スクリプティング(1318件)

400件

DNS情報の設定不備(511件)

350件

SQLインジェ クショ ン(416件)
HTTPレスポンス分割(71件)

300件

ファ イルの誤った公開(68件)
ディレクトリ・トラバーサル(56件)

250件

その他(214件)

200件
150件
100件
50件
0件
0日

1日

2日

3日

4日
6日
11日 21日
31日
51日 91日 201日 301日～～5日 ～10日 ～20日 ～30日 ～50日 ～90日 ～200日～300日

図2-5.ウェブサイトの修正に要した日数
26

運営者から修正完了の報告があったもの、および、脆弱性が修正されたと IPA で判断したものも含めて示しています。なお、0 日は詳細情報を通知した当日に修正されたもの、または運営者へ詳細情報を通知す
る前に修正されたものです。

16クロスサイト・スクリプティング( 1318件)

DNS情報の設定不備（511件）

SQLインジェクション(416件)

HTTPレスポンス分割(71件)

ファイルの誤った公開(68件)

ディレクトリ・トラバーサル(56件)

その他(214件)

0%～10日

11日～20日

21日～30日

20%
31日～50日

40%

60%

80%

51日～90日

91日～200日

201日～300日

100%
301日～

図2-6.ウェブサイトの修正に要した脆弱性種類別の日数の傾向

3. 関係者への要望
脆弱性の修正を促進していくための、各関係者への要望は以下のとおりです。

（1）ウェブサイト運営者
多くのウェブサイトで利用しているソフトウェアに脆弱性が発見されています。自身のウェブ
サイトでどのようなソフトウェアを利用しているかを把握し、脆弱性対策を実施することが必要です。
なお、脆弱性の理解にあたっては、以下のコンテンツが利用できます。
「知っていますか？脆弱性（ぜいじゃくせい）」： http://www.ipa.go.jp/security/vuln/vuln_contents/「安全なウェブサイト運営入門」： http://www.ipa.go.jp/security/vuln/7incidents/（2）製品開発者
JPCERT/CC は、ソフトウェア製品の脆弱性関連情報について、「製品開発者リスト」に基づき、一般公表日の調整等を行います。迅速な調整を進められるよう、「製品開発者リスト」へ登録ください（URL：http://www.jpcert.or.jp/vh/ ）。また、製品開発者自身が自社製品に関する脆弱性関連情報を発見した場合も、対策情報を利用者へ周知するために JVN を活用できます。JPCERT/CC もしくは IPA へ連絡してください。

（3）一般インターネットユーザ
JVN や IPA、JPCERT/CC など、脆弱性情報や対策情報を公表しているウェブサイトを参照し、パッチの適用など、自発的なセキュリティ対策を日ごろから心がける必要があります。脆弱性があるソフトウェアを使い続けることは避けなければなりません。
なお、My JVN（URL：http://jvndb.jvn.jp/apis/myjvn/）では脆弱性対策情報を効率的に収集し、利用者の PC 上にインストールされたソフトウェア製品のバージョンを容易にチェックする等の機能を提供していますので、ご活用ください。

（4）発見者
脆弱性関連情報の適切な流通のため、届出た脆弱性関連情報は、脆弱性が修正されるまでの期
間は第三者に漏れぬよう、適切に管理してください。

17

付表 1. ソフトウェア製品 脆弱性の原因分類
脆弱性の原因説明

届出において想定された脅威1

設定情報の漏洩通信の不正中継
ア ク セ ス 制 御 の 不 アクセス制御を行うべき個所において、なりすまし
備
アクセス制御が欠如している
任意のスクリプトの実行
認証情報の漏洩2

アクセス制限の回避
価格等の改ざん
サービス不能
資源の枯渇
ウェブアプリケーションに対し、入力さ 重要情報の漏洩れた情報の内容の解釈や認証情報の取扱 情報の漏洩
ウ ェ ブ ア プ リ ケ ー い、出力時の処理に問題がある。
「クロス セッション・ハイジャック
ションの脆弱性
サイト・スクリプティング」攻撃や「SQL 通信の不正中継
インジェクション」攻撃などに利用され なりすましてしまう
任意のコマンドの実行
任意のスクリプトの実行
任意のファイルへのアクセス
認証情報の漏洩3

仕様上の不備4

ウェブブラウザやメールクライアントソ
証 明 書 の 検 証 に 関 フトに証明書を検証する機能が実装され 証明書の確認不能
する不備ていない、または、検証が正しく行われ なりすまし
ずに、偽の証明書を受けいれてしまう

5

アプリケーションの異常終
本来、厳しい制限のあるセキュリティコ
セキュリティコン
了
ンテキストで取り扱うべき処理を、緩いテキストの適用の情報の漏洩
制限のセキュリティコンテキストで処理
不備
任意のコードの実行してしまう
任意のスクリプトの実行

6

想定外の長さの入力が行われた場合に、サービス不能バ ッ フ ァ の チ ェ ッ 長さをチェックせずバッファに入力して任意のコードの実行
クの不備しまう。
「バッファオーバーフロー」攻撃
任意のコマンドの実行に利用されてしまう。

7

処理の際のパラメータとして指定されてアプリケーションの異常終いるディレクトリ名やファイル名、ファ了
イルの内容をチェックしていない。任意
ファイルのパス名、
サービス不能のディレクトリのファイルを指定できて内容のチェックの資源の枯渇
しまい、「ディレクトリ・トラバーサル」
不備
任意のファイルへのアクセ攻撃に利用されてしまう。また、破損しス
たファイルや不正に書き換えられたファ
認証情報の漏洩イルを処理した際に不具合が生じる

RFC 等の公開された規格に準拠して、設 サービス不能
計、実装した結果、問題が生じるもの。 資源の枯渇

18

付表 2 ウェブサイト脆弱性の分類
脆弱性の種類

深刻度

説明

届出において想定された脅威高個人情報の漏洩
一般に公開すべきでないファイルが公開さ サーバ内ファイルの漏れており、自由に閲覧できる状態になって 洩いる
データの改ざん、消去
なりすまし

2

パス名パラメータの未チェック

高ユーザからの入力を処理する際のパラメー
タとして指定されているファイル名を、ユ サーバ内ファイルの漏ーザが変更し、ウェブサーバ上の任意のデ 洩ィレクトリのファイルを指定できてしまう

3

ディレクトリ･トラバーサル

高ウェブサーバ上のディレクトリのアクセス 個人情報の漏洩権を超えて、本来許可されている範囲外の サーバ内ファイルの漏
ディレクトリにアクセスできる洩

4

セッション管理の不備高セッション管理に、推測可能な情報を使用
Cookie 情報の漏洩しているため、他のユーザの情報が容易に
個人情報の漏洩
推測でき、他のユーザになりすまして、サ
なりすましービスを利用することができる

5

SQL インジェクション

高

個人情報の漏洩
入力フォームなどへ SQL コマンド（データサーバ内ファイルの漏
ベースへの命令）を入力し、データベース
洩
内の情報の閲覧、更新、削除などができる
データの改ざん、消去

6

DNS 情報の設定不備

高

DNS サーバに不適切な情報が登録されているため、第三者がそのドメイン名の持ち主 ドメイン情報の挿入
であるかのようにふるまえてしまう中

外部の第三者により、他のサーバへのアクセスを中継するサーバとして利用され、不踏み台
正アクセスなどの際にアクセス元を隠すた
めの踏み台にされてしまう中

Cookie 情報の漏洩
サーバ内ファイルの漏
ユーザの Cookie 情報を知らないうちに転 洩送させたり、偽の情報を表示させたりする 個人情報の漏洩
ような罠のリンクをユーザにクリックさ データの改ざん、消去
せ、個人情報等を盗むことができる
なりすまし
本物サイト上への偽情報の表示

中ユーザを罠のページに誘導することで、そのユーザが登録済みのサイトにひそかにア
データの改ざん、消去
クセスさせ、登録情報の変更や商品の購入をさせることができる

中

攻撃者がユーザに対し、悪意のある要求をウェブサーバに送信するように仕向けるこ
ウェブキャッシュ情報とで、ウェブサーバからの応答を分割させのすり替えて応答内容をすり替え、ユーザに対して偽のページを表示させることができる

中

ユーザに対し、ソフトウェアをインストー
ルさせたり、ブラウザのセキュリティレベ 利用者のセキュリティ
ルを下げるよう指示することでクライアン レベルの低下
ト PC のセキュリティ設定を低下させる

中

ウェブサーバに設置したリダイレクタが悪踏み台
意あるリンクへの踏み台にされたり、その本物サイト上への偽情
ウェブサイト上で別のサイト上のページを報の表示表示させられてしまう

1

ファイルの誤った公開7

オープンプロキシ

8

クロスサイト･
スクリプティング

9

クロスサイト・リク
エスト・フォージェ
リ

10

HTTP レスポンス分
割

セキュリティ設定の11
不適切な変更リダイレクタの不適
12
切な利用

19

脆弱性の種類

13

14

深刻度

フィルタリングの回避OS コマンド・インジ
ェクション

15 メールの第三者中継

16

HTTPS の 不 適 切 な
利用

17 価格等の改ざん

届出において想定された脅威説明中

ウェブサイトのサービスやブラウザの機能として提供されているフィルタリング機能 利用者のセキュリティが回避される問題。これにより、本来制限 レベルの低下されるはずのウェブページを閲覧してしま なりすましう

中

攻撃者がウェブアプリケーションを介してウェブサーバの OS コマンドを実行できてしまい、サーバ内ファイルの閲覧やシステ 任意のコマンドの実行
ム操作、不正なプログラムの実行などを行
われてしまう低利用者が入力した内容を管理者が指定した
メールアドレスに送信する機能で、外部のメールシステムの不正利用者が宛先メールアドレスを自由に指定利用できてしまい、迷惑メール送信の踏み台に
悪用される

低

HTTPS による暗号化をしているが、暗号の選択や設定が十分でなかったり、ウェブサ
イトでのユーザへの説明に間違いがある、 なりすまし
または、ウェブサイトの設計上、ユーザから証明書が確認できない

低ショッピングサイトにおいて、価格情報等
が利用者側で書き換えられる。書き換えに データの改ざんよる被害は、ウェブサイト側に限定される

・API: Application Program Interface

・RFC: Request For Comments

・CGI: Common Gateway Interface

・SQL: Structured Query Language

・DNS: Domain Name System

・SSI: Server Side Include

・HTTP: Hypertext Transfer Protocol

・SSL: Secure Socket Layer

・HTTPS: Hypertext Transfer Protocol Security

・TCP: Transmission Control Protocol

・URI: Uniform Resource Identifier・URL: Uniform Resource Locator・ISAKMP : Internet Security Association
・MIME

Key Management Protocol: Multipurpose Internet Mail Extension

付図１．「情報セキュリティ早期警戒パートナーシップ」（脆弱性関連情報取扱いの枠組み）
脆弱性関連情報流通体制

ユーザ
ユーザー
脆弱性関連
情報届出

ソフトウェア
製品の脆弱性

脆弱性関連
情報通知

脆弱性関連情報の報告された脆弱性
内容確認・検証
関連情報の内容確認

発見者
W e b サイトの脆弱性

受付・分析機関
受付機関
報告された

調整機関

ソフト
開発者等

分析支援機関【期待効果】

脆弱性対策情報ポータル

公表日の決定、
海外の調整機関
との連携等

対応状況等
対応状況
対策方法等
公表公表

システム導入
支援者等

政府
企業
個人

セキュリティ対策推進協議会等

分析機関
脆弱性関連
情報届出

対策情報ポータル

対応状況の集約、
公表日の調整等

産総研など報告された脆弱性
脆弱性関連情報通知
脆弱性関連情報通知
関連情報の検証W e b サイト運営者

Webサイト運営者
検証、対策実施
検証、対策実施

個人情報の漏えい時は事実関係を公表
個人情報漏洩時は事実関係を公表①製品開発者及びウェブサイト運営者による脆弱性対策を促進②不用意な脆弱性関連情報の公表や脆弱性の放置を抑制③個人情報等重要情報の流出や重要システムの停止を予防※IPA：独立行政法人 情報処理推進機構、JPCERT/CC：一般社団法人 JPCERT コーディネーションセンター、産総研：独立行政法人 産業技術総合研究所

20