ソフトウエア等の脆弱性関連情報に関する届出状況[2017年第1四半期（1月～3月)]

Size: px

Start display at page:

Download "ソフトウエア等の脆弱性関連情報に関する届出状況[2017年第1四半期（1月～3月)]"

しげのぶこいたばし
6 years ago
Views:

1 電子署名者 : Japan Computer Emergency Response Team Coordination Center DN : c=jp, st=tokyo, l=chiyoda-ku, =office@jpcert.or.jp, o=japan Japan Computer Emergency Computer Emergency Response Team Response Team Coordination Center Coordination Center, cn=japan Computer Emergency Response Team Coordination Center 付 : :45:02 +09'00' ソフトウェア等の脆弱性関連情報に関する届出状況 [ 年第 1 四半期 1 月 3 月 ] ソフトウェア等の脆弱性関連情報に関する届出状況について本における公的な脆弱性関連情報の取扱制度である情報セキュリティ早期警戒パートナーシップは経済産業省の告示(*1)に基づき 2004 年 7 月より運用されています本制度において独立行政法人情報処理推進機構以降 IPA と一般社団法人 JPCERT コーディネーションセンター以降 JPCERT/CC は脆弱性関連情報の届出の受付や脆弱性対策情報の公表に向けた調整などの業務を実施しています本報告書では年 1 月 1 から年 3 月 31 までの脆弱性関連情報に関する届出状況について記載しています独立行政法人情報処理推進機構技術本部セキュリティセンター一般社団法人 JPCERT コーディネーションセンター年 4 月 26 (*1) 旧告示ソフトウエア等脆弱性関連情報取扱基準は廃止され新たに以下の告示が定められましたソフトウエア製品等の脆弱性関連情報に関する取扱規程平成 29 年経済産業省告示第 19 号受付機関及び調整機関を定める告示平成 29 年経済産業省告示第 20 号

2 目次 1. 年第 1 四半期ソフトウェア等の脆弱性関連情報に関する届出状況脆弱性関連情報の届出状況脆弱性の修正完了状況連絡不能案件の取扱状況ソフトウェア等の脆弱性に関する取扱状況 ( 詳細 ) ソフトウェア製品の脆弱性処理状況ソフトウェア製品種類別届出件数脆弱性の原因と影響別件数 JVN 公表状況別件数調整および公表レポート数連絡不能案件の処理状況ウェブサイトの脆弱性処理状況運営主体の種類別の届出件数脆弱性の種類影響別届出修正完了状況長期化している届出の取扱い経過数関係者への要望ウェブサイト運営者製品開発者一般のインターネットユーザー発見者付表 1. ソフトウェア製品の脆弱性の原因分類付表 2. ウェブサイトの脆弱性の分類付図 1. 情報セキュリティ早期警戒パートナーシップ ( 脆弱性関連情報の取扱制度 )... 20

3 1. 年第 1 四半期ソフトウェア等の脆弱性関連情報に関する届出状況 1-1. 脆弱性関連情報の届出状況 ~ 脆弱性の届出件数の累計は 13,061 件 ~ 表 1-1 は情報セキュリティ早期警戒パートナーシップ (*2) ( 以降本制度 ) における年第 1 四半期 ( 以降今四半期 ) 分類表 1-1. 届出件数今四半期件数累計の脆弱性関連情報の届出件数および届出受付開始 (2004 年 7 月 8 ) から今四半期までの累計を示しています今四半期のソフトウェア製品に関する届出件数は 88 ソフトウェア製品ウェブサイト合計 88 件 57 件 145 件 3,52 9,541 件 13,061 件件ウェブアプリケーション ( 以降ウェブサイト ) に関する届出は 57 件合計 145 件でした届出受付開始からの累計は 13,061 件で内訳はソフトウェア製品に関するもの 3,52 ウェブサイトに関するもの 9,541 件でウェブサイトに関する届出が全体の約 7 割を占めています図 1-1 は過去 3 年間の届出件数の四半期ごとの推移を示したものです今四半期はウェブサイトよりもソフトウェア製品に関して多くの届出がありました表 1-2 は過去 3 年間の四半期ごとの届出の累計および 1 就業あたりの届出件数の推移です今四半期までの 1 就業あたりの届出件数は 4.21 (*3) 件でした四半期件数ソフトウェア製品ウェブサイト 80ソフトウェア製品 ( 累計 ) ウェブサイト ( 累計 ) 8,018 8,311 8,703 8,864 8,939 9,031 9,116 9,200 9,263 9,379 9,484 9, ,822 1,861 1,946 2,032 2,119 2,238 2,388 2,488 3,176 3,293 3,432 3, Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2014 図 1-1. 脆弱性の届出件数の四半期ごとの推移累計件数 10,00 9,00 8,00 7,00 6,00 5,00 4,00 3,00 2,00 1, Q 3Q 4Q 表 1-2. 届出件数 ( 過去 3 年間 ) 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 累計届出件数 [ 件 ] 9,840 10,172 10,649 10,896 11,058 11,269 11,504 11,688 12,439 12,672 12,916 13,061 1 就業あたり [ 件 / ] (*2) 情報セキュリティ早期警戒パートナーシップガイドライン (*3) 1 就業あたりの届出件数は累計届出件数 / 届出受付開始からの就業数にて算出 1

4 1-2. 脆弱性の修正完了状況 ~ ソフトウェア製品およびウェブサイトの修正件数は累計 8,413 件 ~ 表 1-3 は今四半期および届出受付開始から表 1-3. 修正完了 (JVN 公表 ) 今四半期までのソフトウェア製品とウェブサイトの修正完了件数を示していますソフトウェア製品の場合修正が完了すると JVN に公表しています ( 回避策の公表のみでプログラムの修正をしていない場合を含む ) 分類ソフトウェア製品ウェブサイト合計今四半期件数 47 件 105 件 152 件累計 1,429 件 6,984 件 8,413 件 (*4) 今四半期に JVN 公表したソフトウェア製品の件数は 47 件 ( 累計 1,429 件 ) でしたそのうち 4 件は製品開発者による自社製品の脆弱性の届出でしたなお届出を受理してから JVN (*5) 公表までの数が 45 以内のものは 12 件 (26%) でしたまた修正完了したウェブサイトの件数は 105 件 ( 累計 6,984 件 ) でした修正を完了した 105 件のうちウェブアプリケーションを修正したものは 97 件 (92%) 当該ページを削除したものは 8 件 (8%) で運用で回避したものはでしたなお修正を完了した 105 件のう (*6) ちウェブサイト運営者へ脆弱関連情報を通知してから 90 以内に修正が完了したものは 88 件 (84%) でした今四半期は 90 以内に修正完了した割合が前四半期 (6中 43 件 (72%)) より増加しています 1-3. 連絡不能案件の取扱状況本制度では調整機関から連絡が取れない製品開発者を連絡不能開発者と呼び連絡の糸口を得るため当該製品開発者名等を公表して情報提供を求めています (*7) 製品開発者名を公表後 3 ヵ月経過しても製品開発者から応答が得られない場合は製品情報 ( 対象製品の具体的な名称およびバージョン ) を公表しますそれでも応答が得られない場合は情報提供の期限を追記します情報提供の期限までに製品開発者から応答がない場合は当該脆弱性情報の公表に向け情報セキュリティ早期警戒パートナーシップガイドラインに定められた条件を満たしている (*8) かを公表判定委員会で判定しますその判定を踏まえ IPA が公表すると判定した脆弱性情報は JVN に公表されます今四半期は新たに 1 件について連絡が取れない製品開発者名を公表しましたまた公表判定委員会での判定を経て脆弱性情報が JVN に公表されたものはありませんでした年 3 月末時点の連絡不能開発者の累計公表件数は 251 件その内製品情報を公表しているものは 23となりました (*4) P.7 表 2-3 参照 (*5) JVN 公表の目安は脆弱性の取扱いを開始した時から起算して 45 後としています (*6) 対処の目安はウェブサイト運営者が脆弱性の通知を受けてから 3 ヶ月以内としています (*7) 連絡不能開発者一覧 : (*8) 連絡不能案件の脆弱性情報を公表するか否かを判定するために IPA が組織する法律情報セキュリティ当該ソフトウェア製品分野の専門的な知識や経験を有する専門家かつ当該案件と利害関係のない者で構成される 2

5 2. ソフトウェア等の脆弱性に関する取扱状況 ( 詳細 ) 2-1. ソフトウェア製品の脆弱性処理状況図 2-1 はソフトウェア製品の脆弱性届出の処理状況について四半期ごとの推移を示しています年 3 月末時点の届出の累計は 3,52で今四半期に脆弱性対策情報を JVN 公表したものは 47 件 ( 累計 1,429 件 ) でした製品開発者が JVN 公表を行わず個別対応したものは ( 累計 36 件 ) 製品開発者が脆弱性ではないと判断したものは 1 件 ( 累計 84 件 ) 不受 (*9) 理としたものは 1 ( 累計 386 件 ) 取扱い中は 1,585 件でした 1,585 件のうち連絡不 (*10) (*11) 能開発者一覧へ新規に公表したものは 1 件です年 3 月末時点で 206 件が連絡不能開発者一覧へ公表中です年 3 月末 1,181 連絡不能合計 2,488 年 6 月末 1, ,452 合計 3,176 年 9 月末 1, ,494 合計 3,293 年 12 月末 1,877 1,382 [45%] 連絡不能 ,555 連絡不能開発者 203 合計 3,432 年 3 月末取扱い終了 1,935 (58) 公表済み 1,429 [46%] 連絡不能 2(0) 個別対応 36(0) 84不受理 (1) 386(10) 取扱い中 1,585 連絡不能開発者 204(1) 合計 3, ,000 1,500 2,000 2,500 3,000 3,500 ( ) 内の数値は今四半期に処理を終了もしくは連絡不能開発者となった件数取扱い終了公表済み :JVN で脆弱性への対応状況を公表したもの連絡不能 : 公表判定委員会による判定にて JVN で公表することが適当と判定されたもの個別対応 :JVN 公表を行わず製品開発者が個別対応したもの脆弱性ではない : 製品開発者により脆弱性ではないと判断されたもの不受理 : 告示で定める届出の対象に該当しないもの取扱い中 :IPA JPCERT/CC が内容確認中製品開発者が調査対応中のもの連絡不能開発者 : 取扱い中のうち連絡不能開発者一覧にて公表中のもの図 2-1. ソフトウェア製品脆弱性の届出処理状況 ( 四半期ごとの推移 ) (*9) 内訳は今四半期の届出によるもの前四半期までの届出によるもの 1 (*10) 連絡不能開発者一覧への公表および一覧からの削除が複数回行われた製品開発者の公表回数はその累計を計上しています (*11) 連絡不能開発者一覧に公表中の件数は図 2-1 の連絡不能及び連絡不能開発者の合計です 3

6 今までに届出のあったソフトウェア製品の脆弱性 3,52のうち不受理を除いた件数は 3,134 件でした以降不受理を除いた届出について集計した結果を記載しますソフトウェア製品種類別届出件数図は届出された脆弱性の製品種類別の内訳です図 2-2 は製品種類別割合を図 2-3 は過去 2 年間の届出件数の推移を四半期ごとに示したものです累計ではウェブアプリケーションソフトが最も多く 48% となっています今四半期の届出件数においてウェブアプリケーションソフト (17 件 ) と情報家電 (17 件 ) が最も多く次いでルータ (8 件 ) となっていますソフトウェア製品の製品種類別の届出状況ウェブアプリケーションソフトスマートフォン向けアプリルータグループウェアアプリケーション開発実行環境ウェブブラウザ情報家電 OS システム管理ソフトメールソフトその他 2% 2% 2% 3% 4% 5% 5% 7% (7%) 14% 8% (8%) その他にはデータベース携帯機器などがあります ( 3,134 件の内訳グラフの括弧内は前四半期までの数字 ) 図 2-2. 届出累計の製品種類別割合 48% (49%) 2Q 3Q 4Q 1Q Q 3Q 4Q 1Q ( 過去 2 年間の届出内訳 ) 図 2-3. 四半期ごとの製品種類別届出件数図は届出された製品をライセンスの形態によりオープンソースソフトウェア (OSS) とそれ以外で分類しています図 2-4 は届出累計の分類割合を図 2-5 は過去 2 年間の届出件数の推移を四半期ごとに示したものですオープンソースソフトウェアを除いたそれ以外が今四半期は 89% 累計では 57% を占めましたオープンソースソフトウェアの脆弱性の届出状況 70オープンソースソフトウェア 65 60それ以外 % 20 (44%) % (56%) Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q (3,134 件の内訳グラフの括弧内は前四半期までの数字 ) ( 過去 2 年間の届出内訳 ) 図 2-4. 届出累計のオープンソースソフトウェア割合図 2-5. 四半期ごとのオープンソースソフトウェア届出件数 4

7 脆弱性の原因と影響別件数図は届出された脆弱性の原因を示しています図 2-6 は届出累計の脆弱性の原因別割合を図 2-7 は過去 2 年間の原因別の届出件数の推移を四半期ごとに示しています (*12) 累計ではウェブアプリケーションの脆弱性が過半数を占めています今四半期はその他実装上の不備 (46 件 ) が最も多く次いでウェブアプリケーションの脆弱性(32 件 ) アクセス制御の不備 (5 件 ) となっていますソフトウェア製品の脆弱性の原因別の届出状況ウェブアプリケーションの脆弱性ファイルのパス名内容のチェックの不備バッファのチェックの不備アクセス制御の不備仕様上の不備証明書の検証に関する不備その他実装上の不備 ( ) その他ウェブに関連する不備 21% 2% その他実装上の不備には 2% コードインジェクションや認証 2% 不備などがあります 3% 4% (4%) 6% (6%) (3,134 件の内訳グラフの括弧内は前四半期までの数字 ) 図 2-6. 届出累計の脆弱性の原因別割合 60% (61%) Q 3Q 4Q 1Q 図は届出された脆弱性がもたらす影響を示しています図 2-8 は届出累計の影響別割合を図 2-9 は過去 2 年間の影響別届出件数の推移を四半期ごとに示しています累計では任意のスクリプトの実行が最も多く 40% となっています今四半期は任意のコマンドの実行 (41 件 ) が最も多く次いで任意のスクリプトの実行(14 件 ) アクセス制限の回避 (12 件 ) でしたソフトウェア製品の脆弱性がもたらす影響別の届出状況任意のスクリプトの実行情報の漏洩任意のコマンドの実行任意のコードの実行なりすましサービス不能任意のファイルへのアクセスデータベースの不正操作アクセス制限の回避その他 3% 4% 4% 5% 7% 11% 40% (41%) 8% 8% 10% (8%) (10%) (3,134 件の内訳グラフの括弧内は前四半期までの数字 ) 図 2-8. 届出累計の脆弱性がもたらす影響別割合 2Q 3Q 4Q 1Q ( 過去 2 年間の届出内訳 ) 図 2-7. 四半期ごとの脆弱性の原因別届出件数 2Q 3Q 4Q 1Q Q 3Q 4Q 1Q ( 過去 2 年間の届出内訳 ) 図 2-9. 四半期ごとの脆弱性がもたらす影響別届出件数 (*12) それぞれの脆弱性の詳しい説明については付表 1 を参照してください 5

8 JVN 公表状況別件数届出受付開始から今四半期までに対策情報を JVN 公表した脆弱性 (1,429 件 ) について図 2-10 は受理してから JVN 公表するまでに要した数を示したものです 45 以内は 32% 45 を超過した件数は 68% でした表 2-1 は過去 3 年間において 45 以内に JVN 公表した件数の割合推移を四半期ごとに示したものです製品開発者は脆弱性が悪用された場合の影響を認識し迅速な対策を講じる必要があります ( 以内の公表 ) 全体 (1,429 件 ) 134 件 94 件 118 件 108 件 291 件 209 件 96 件 379 件 0~ 10 11~ 20 21~ 30 31~45 46~ ~ ~ ~ 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% 0 ~10 11 ~20 21 ~30 31 ~45 46 ~ ~ ~ ~ 図ソフトウェア製品の脆弱性公表数表以内に JVN 公表した件数の割合推移 ( 四半期ごと ) Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 34% 33% 33% 32% 31% 31% 31% 30% 32% 32% 32% 32% 調整および公表レポート数 JPCERT/CC は本制度に届け出られた脆弱性情報のほか海外の製品開発者や CSIRT などからも脆弱性情報の提供を受けて国内外の関係者と脆弱性対策情報の公表に向けた調整を行っています (*13) これらの脆弱性に対する製品開発者の対応状況は IPA と JPCERT/CC が共同運営している脆弱性対策情報ポータルサイト JVN(Japan Vulnerability Notes)( URL: ) に公表しています表 2-2 図 2-11 は公表件数を情報提供元別に集計し今四半期の公表件数 (*14) 過去 3 年分の四半期ごとの公表件数の推移等を示したものです表 2-2. 脆弱性の提供元別脆弱性公表レポート件数情報提供元国内外の発見者からの届出製品開発者から自社製品の届出を受け JVN で公表した脆弱性レポート海外 CSIRT 等から脆弱性情報の提供を受け JVN で公表した脆弱性レポート合計四半期件数 ,100 1,138 1,169 1,205 1,238 1,277 1,319 1,359 1,390 1,427 1,471 1,503 1,337 1, ,000 1,042 1,095 1,147 1,175 1,249 1, Q 2014 国内外の発見者からの届出海外の CSIRT からの連絡 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 図ソフトウェア製品の脆弱性対策情報の公表件数今四半期件数累計 35 件 1,372 件 32 件 1,503 件 67 件 2,875 件累計件数 1,60 1,40 1,20 1, (*13) JPCERT/CC 活動概要 Page17~22( を参照下さい (*14) は公表したレポートの件数をもとに件数を計上しています複数の届出についてまとめ 1 件のレポートを公表する場合がある為必ずしも JVN 公表した脆弱性の件数と一致するものではありません 6

9 (1) JVN で公表した届出を深刻度で分類した国内外の発見者および製品開発者から届出を受けた脆弱性表 2-3 は国内の発見者および製品開発者から受けた届出について今四半期に JVN 公表した脆弱性を深刻度のレベル別に示していますオープンソースソフトウェアに関する脆弱性が 15 件 ( 表 2-3 の #1) 製品開発者自身から届けられた自社製品の脆弱性が 4 件 ( 表 2-3 の #2) 組込みソフトウェア製品の脆弱性が 2 件 ( 表 2-3 の #3) ありました表 2-3. 年第 1 四半期に JVN で公表した脆弱性項番脆弱性識別番号脆弱性 1 JVN# 脆弱性の深刻度 = レベル III( 危険 ) CVSS 基本値 =7.0~10.0 smalruby-editor における OS コマンドインジェクションの脆弱性 2 JVN# 脆弱性体験学習ツール AppGoat における認証不備の脆弱性 (#2) JVN# JVN# JVN# JVN# JVN# JVN# JVN# 脆弱性の深刻度 = レベル II( 警告 ) CVSS 基本値 =4.0~6.9 Olive Blog におけるクロスサイトスクリプティングの脆弱性 WEB SCHEDULE におけるクロスサイトスクリプティングの脆弱性 Olive Diary DX におけるクロスサイトスクリプティングの脆弱性サイボウズリモートサービスマネージャーにおけるクライアント証明書の検証不備の脆弱性アタッシェケースにおけるディレクトリトラバーサルの脆弱性 MaruUoFactory 製の複数のアタッシェケース製品におけるディレクトリトラバーサルの脆弱性 Apache Struts 2 において devmode が有効な場合に任意の Java(OGNL) コードが実行可能な問題 10 JVN# Nessus におけるクロスサイトスクリプティングの脆弱性 JVN# JVN# Knowledge におけるクロスサイトリクエストフォージェリの脆弱性 CubeCart におけるディレクトリトラバーサルの脆弱性 13 JVN# Android アプリ LaLa Call における SSL サーバ証明書の検証不備の脆弱性 14 JVN# Android アプリビジネス LaLa Call における SSL サーバ証明書の検証不備の脆弱性 15 JVN# Webmin における複数のクロスサイトスクリプティングの脆弱性 16 JVN# 脆弱性体験学習ツール AppGoat において任意のコードが実行可能な脆弱性 17 JVN# 脆弱性体験学習ツール AppGoat における DNS リバインディングの脆弱性 JVN 公表年 1 月 24 年 2 月 9 年 1 月 6 年 1 月 6 年 1 月 6 年 1 月 11 年 1 月 16 年 1 月 16 年 1 月 20 年 1 月 24 年 1 月 24 年 1 月 27 年 2 月 3 年 2 月 3 年 2 月 9 年 2 月 9 年 2 月 9 CVSS 基本値

10 項番脆弱性識別番号脆弱性 18 JVN# 脆弱性体験学習ツール AppGoat におけるクロスサイトリクエストフォージェリの脆弱性 19 JVN# Norton Download Manager における任意の DLL 読み込みに関する脆弱性 20 JVN# Android アプリ TVer における SSL サーバ証明書の検証不備の脆弱性 (#2) JVN# ZIP32.DLL で作成された自己解凍書庫における任意の DLL 読み込みに関する脆弱性 JVN 公表年 2 月 9 年 2 月 10 年 2 月 10 年 2 月 17 JVN# サイボウズガルーンにおける複数の脆弱性年 2 月 20 JVN# CubeCart におけるディレクトリトラバーサルの脆弱性年 2 月 28 JVN# WBCE CMS における複数の脆弱性年 2 月 JVN# スマートフォンアプリアクセス CX における SSL サーバ証明書の検証不備の脆弱性 26 JVN# PrimeDrive デスクトップアプリケーションのインストーラにおける任意の DLL 読み込みに関する脆弱性 27 (#3) JVN# アイオーデータ製の複数のネットワークカメラ製品における複数の脆弱性 28 JVN# OneThird CMS におけるクロスサイトスクリプティングの脆弱性 29 JVN# OneThird CMS におけるクロスサイトスクリプティングの脆弱性 30 (#2) JVN# 安全なウェブサイト運営入門における OS コマンドインジェクションの脆弱性 31 JVN# PhishWall クライアント Internet Explorer 版のインストーラにおける任意の DLL 読み込みに関する脆弱性 (#3) (#2) JVN# JVN# WordPress 用プラグイン YOP Poll におけるクロスサイトスクリプティングの脆弱性 CentreCOM AR260S V2 における権限昇格の脆弱性脆弱性の深刻度 = レベル I( 注意 ) CVSS 基本値 =0.0~3.9 年 3 月 1 年 3 月 1 年 3 月 2 年 3 月 7 年 3 月 7 年 3 月 16 年 3 月 22 年 3 月 23 年 3 月 30 JVN# Apache Brooklyn における複数の脆弱性年 2 月 15 JVN# Android アプリサイボウズ KUNAI for Android における情報管理不備の脆弱性年 3 月 13 CVSS 基本値

11 (2) 海外 CSIRT 等から脆弱性情報の提供を受け JVN で公表した脆弱性表は今四半期に JPCERT/CC が海外 CSIRT 等と連携して取り扱った脆弱性の公表ないし対応の状況を示しています今四半期には表 2-4 に示した脆弱性情報 31 件と表 2-5 に示した Alert (*15) ( 注意喚起情報 ) の 1 件を公表しました Android 関連製品や OSS を組み込んだ製品の脆弱性に関する調整活動では製品開発者が所在するアジア圏の調整機関特に韓国の KrCERT/CC や中国の CNCERT/CC 台湾の TWNCERT との連携が近年増えていますこれらの情報は JPCERT/CC 製品開発者リスト (*16) に登録された製品開発者へ通知したうえ JVN に掲載しています表 2-4. 海外 CSIRT 等と連携した脆弱性および対応状況項番脆弱性対応状況 1 ios アプリ Pandora に SSL サーバ証明書の検証不備の脆弱性注意喚起として掲載 2 複数の Apple 製品における脆弱性に対するアップデート注意喚起として掲載 3 NTP.org の ntpd に複数の脆弱性複数製品開発者と調整 4 PCAUSA Rawether for Windows に権限昇格の脆弱性注意喚起として掲載 5 Commvault Edge にスタックバッファオーバーフローの脆弱性注意喚起として掲載 6 D-Link DIR-130 および DIR-330 に複数の脆弱性注意喚起として掲載 7 Apache Tomcat に情報漏えいの脆弱性複数製品開発者へ通知 8 D-Link DIR-850L にバッファオーバーフローの脆弱性注意喚起として掲載 9 10 ios アプリ Flash Seats Mobile App に SSL サーバ証明書の検証不備の脆弱性 Apache Struts2 に任意のコードが実行可能な脆弱性注意喚起として掲載緊急案件として掲載複数製品開発者へ通知 11 ACTi 製の複数のカメラ製品に脆弱性注意喚起として掲載 12 PHP FormMail Generator で作成した PHP コードに複数の脆弱性注意喚起として掲載 13 dotcms に複数の脆弱性注意喚起として掲載 14 Sage XRT Treasury にアクセス制限不備の脆弱性注意喚起として掲載 15 一太郎シリーズにバッファオーバーフローの脆弱性特定製品開発者と調整 16 OpenSSL にサービス運用妨害 (DoS) の脆弱性複数製品開発者へ通知 17 Apple GarageBand および Logic Pro X の脆弱性に対するアップデート注意喚起として掲載 18 複数の Hughes Satellite Modem に複数の脆弱性注意喚起として掲載 19 Accellion FTP server に複数の脆弱性注意喚起として掲載 20 ISC BIND にサービス運用妨害 (DoS) の脆弱性自社届出 / 調整 Microsoft Windows の SMB Tree Connect Response パケットの処理にサービス運用妨害 (DoS) の脆弱性 SHDesigns Resident Download Manager がファームウエアを検証しない問題ウェブブラウザ向け Cisco WebEx 拡張機能に任意のコマンドが実行可能な脆弱性注意喚起として掲載複数製品開発者と調整注意喚起として掲載 24 OpenSSL に複数の脆弱性複数製品開発者へ通知 25 複数の Apple 製品における脆弱性に対するアップデート注意喚起として掲載 (*15) US-CERT が公表した注意喚起情報 (*16) JPCERT/CC 製品開発者リスト : 9

12 項番脆弱性対応状況 26 Apple GarageBand および Logic Pro X の脆弱性に対するアップデート注意喚起として掲載 27 GigaCC OFFICE における複数の脆弱性特定製品開発者と調整 28 CodeLathe FileCloud にクロスサイトリクエストフォージェリの脆弱性注意喚起として掲載 29 ISC BIND に複数のサービス運用妨害 (DoS) の脆弱性緊急案件として掲載複数製品開発者へ通知 30 ios 用 ThreatMetrix SDK に SSL サーバ証明書の検証不備の脆弱性注意喚起として掲載 31 スマートフォンアプリ ShoreTel Mobility Client に SSL サーバ証明書の検証不備の脆弱性表 2-5. 米国 US-CERT (*17) と連携した注意喚起情報注意喚起として掲載項番脆弱性 1 HTTPS 通信監視機器によるセキュリティ強度低下の問題 (*17) United States Computer Emergency Readiness Team: 米国の政府系 CSIRT 10

13 連絡不能案件の処理状況図 2-12 は 2011 年 9 月末から年 3 月末までに連絡不能開発者と位置づけて取扱った 251 件の処理状況の推移を示したものです製品開発者名を公表(1) について今四半期は新たに 1 件公表しました製品開発者名を公表しても製品開発者からの応答がないため追加情報として公表する製品名公表 (2) について今四半期は新たに 3 件公表しましたまた今四半期で新たに製品開発者と調整が再開したもの ( 調整中(3) ) はありませんでしたが前四半期までに調整を再開したものから調整が完了 (4) したものが 3 件ありましたこの結果年 3 月末時点で連絡不能案件 (1+2) は 204 件 ( 前四半期は 203 件 ) 調整再開した案件 (3+4) は 45 件となりましたなお公表判定委員会の判定にて JVN 公表が適当であると判定され JVN 公表に至った案件 (5) について今四半期に公表した案件はありませんでした連絡不能案件 ( 製品開発者と連絡がとれないソフトウェア製品の脆弱性届出 ) 連絡不能開発者一覧 ( 製品開発者と連絡がとれない脆弱性リスト ) 1 製品開発者名公表 ( 製品開発者からの連絡を求めるため ) 調整再開 2 製品名公表 ( 製品関係者からも連絡を求めるため ) 調整再開公表判定委員会 ( 公表して良いかを判定 ) 調整再開 3 調整中 ( 製品開発者と接触でき調整着手 ) 5 連絡不能案件として JVN 公表 4 調整完了調整再開案件 ( 製品開発者から連絡があり脆弱性対応に係る調整を再開した案件 ) 年第 4 四半期 203 件 ( 13 件 220 ) 45 件 ( 322 件 423 件 ) 5 2 件合計 25 年第 1 四半期 204 件 ( 11 件 2203 件 ) 45 件 ( 319 件 426 件 ) 5 2 件合計 251 件図連絡不能案件の処理状況 11

14 2-2. ウェブサイトの脆弱性処理状況図 2-13 はウェブサイトの脆弱性届出の処理状況について四半期ごとの推移を示したものです年 3 月末時点の届出の累計は 9,541 件で今四半期中に取扱いを終了したものは 118 件 ( 累計 9,042 件 ) でしたこのうち修正完了したもの 105 件 ( 累計 6,984 件 ) 注意喚起により処理を取りやめたもの (*18) は ( 累計 1,13 ) IPA およびウェブサイト運営者が脆弱性ではないと判断したものは 3 件 ( 累計 548 件 ) でしたウェブサイト運営者への連絡手段がないなど取扱不能と判断したものは 4 件 ( 累計 143 件 ) でしたなおウェブサイト運営者への連絡は通常メールで行い連絡が取れない場合に電話や郵送での連絡も行っていますま (*19) た不受理としたものは 6 件 ( 累計 237 件 ) でした取扱いを終了した累計 9,042 件のうち修正完了脆弱性ではないの合計 7,532 件は全てウェブサイト運営者からの報告もしくは IPA の判断により指摘した点が解消されていることが確認されたものですなお修正完了のうちウェブサイト運営者が当該ページを削除したものは 8 件 ( 累計 997 件 ) ウェブサイト運営者が運用により被害を回避したものは ( 累計 28 件 ) でした年 3 月末 6,663 1, 合計 9,20 年 6 月末 6,741 1, 合計 9,263 件年 9 月末 6,819 1, 合計 9,379 件年 12 月末 6,879 1, 合計 9,484 件年 3 月末修正完了 6,984 [75%] 取扱い終了 9,042(118) 運用で回避 28(0) 注意喚起 1, (3) 499 合計 9,541 件取扱い中取扱不能 143(4) 不受理 237(6) 0 1,000 2,000 3,000 4,000 5,000 6,000 7,000 8,000 9,000 ( ) 内の数値は今四半期に処理を終了した件数 [] 内の数値は受理した届出のうち修正完了した割合取扱い終了修正完了 : ウェブサイト運営者により脆弱性が修正されたもの当該ページを削除 : 修正完了のうち当該ページを削除したもの運用で回避 : 修正完了のうち運用により被害を回避しているもの注意喚起 : IPA による注意喚起で広く対策実施を促した後処理を取りやめたもの脆弱性ではない : IPA およびウェブサイト運営者が脆弱性はないと判断したもの取扱不能 : ウェブサイト運営者からの回答がなく取扱いができないものウェブサイト運営者が対応しないと判断したものウェブサイト運営者への連絡手段がないと判断したもの不受理 : 告示で定める届出の対象に該当しないもの取扱い中 : IPA が内容確認中ウェブサイト運営者が調査対応中のもの図ウェブサイト脆弱性の届出処理状況の四半期別推移 (*18) 多数のウェブサイトにおいて利用されているソフトウェア製品に修正プログラムが適用されていないといった届出があった場合効果的に周知徹底するため注意喚起を公表することがありますそうした場合注意喚起をもって届出の処理を取りやめます (*19) 内訳は今四半期の届出によるもの 4 件前四半期までの届出によるもの 2 件 12

15 今までに届出のあったウェブサイトの脆弱性 9,541 件のうち不受理を除いた件数は 9,304 件でした以降不受理を除いた届出について集計した結果を記載します運営主体の種類別の届出件数図 2-14 は届出された脆弱性のウェブサイト運営主体の種類について過去 2 年間の届出件数の推移を四半期ごとに示しています今四半期は届出 53 件の約 7 割を企業が占めています不明個人政府機関教育学術機関団体地方公共団体企業 ( その他 ) 企業 ( 株式非上場 ) 企業 ( 株式上場 ) 脆弱性の種類影響別届出 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 図四半期ごとの運営主体の種類別届出件数図は届出された脆弱性の種類を示しています図 2-15 は今までの届出累計の割合を図 2-16 は過去 2 年間の届出件数の推移を四半期ごとに示しています (*20) 累計ではクロスサイトスクリプティングだけで 56% を占めており次いで DNS 情報の設定不備 SQL インジェクションとなっています DNS 情報の設定不備の 15% は 2008 年から 2009 年にかけて多く届出されたものが反映されています今四半期は約半数を占めるクロスサイトスクリプティング (28 件 ) が最も多く次いで SQL インジェクション (11 件 ) となっていますなおこの統計は本制度における届出の傾向であり世の中に存在する脆弱性の傾向と必ずしも一致するものではありませんウェブサイトの脆弱性の種類別の届出状況クロスサイトスクリプティング DNS 情報の設定不備 SQL インジェクションディレクトリトラバーサルファイルの誤った公開 HTTPS の不適切な利用その他 3% 11% (11%) 2% 2% 15% (15%) 11% (9,304 件の内訳グラフの括弧内は前四半期までの数字 ) 56% (56%) 2Q 3Q 4Q 1Q Q 3Q 4Q 1Q ( 過去 2 年間の届出内訳 ) 図届出累計の脆弱性の種類別割合図四半期ごとの脆弱性の種類別届出件数 (*20) それぞれの脆弱性の詳しい説明については付表 2 を参照してください 13

16 図は届出された脆弱性がもたらす影響別の分類です図 2-17 は届出の影響別割合を図 2-18 は過去 2 年間の届出件数の推移を四半期ごとに示しています累計では本物サイト上への偽情報の表示ドメイン情報の挿入データの改ざん消去が全体の 8 割を占めていますこれらはクロスサイトスクリプティング DNS 情報の設定不備 SQL インジェクションなどにより発生するものです今四半期は本物サイト上への偽情報の表示 (29 件 ) が最も多く次いでデータの改ざん消去 (11 件 ) 個人情報の漏洩 (5 件 ) となっていますウェブサイトの脆弱性がもたらす影響別の届出状況本物サイト上への偽情報の表示ドメイン情報の挿入データの改ざん消去サーバ内ファイルの漏洩個人情報の漏洩なりすまし Cookie 情報の漏洩その他修正完了状況 3% 4% 12% (12%) 2% 8% 2% 15% (15%) (9,304 件の内訳グラフの括弧内は前四半期までの数字 ) 図届出累計の脆弱性がもたらす影響別割合図 2-19 は過去 3 年間のウェブサイトの脆弱性の修正完了件数を四半期ごとに示しています今四半期に修正を完了した届出 105 件のうち 88 件 (84%) は運営者へ脆弱関連情報を通知してから 90 以内に修正が完了しましたこの割合は前四半期 (6中 43 件 ) の 72% よりも増加しています表 2-6 は過去 3 年間に修正が完了した全届出のうちウェブサイト運営者に通知してから 90 以内に修正が完了した脆弱性の累計およびその割合を四半期ごとに示したものです今四半期の割合は 66% でした 54% (54%) 2Q 3Q 4Q 1Q Q 3Q 4Q 1Q ( 過去 2 年間の届出内訳 ) 図四半期ごとの脆弱性がもたらす影響別届出件数四半期件数 0-90 以内以内 301 以上完了件数 ( 四半期計 ) 完了件数 ( 累計 ) 5,595 5,778 5,941 6,194 6,352 6,481 6,565 6,663 6,741 6,819 6,879 6, 累計件数 7,00 6,00 5, Q Q 4Q 1Q Q 3Q 4Q 1Q 図ウェブサイトの脆弱性の修正完了件数 Q 3Q 4Q 1Q 4,00 3,00 2,00 1,00 表以内に修正完了した累計およびその割合の推移 Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 修正完了件数 5,595 5,778 5,941 6,194 6,352 6,481 6,565 6,663 6,741 6,819 6,879 6, 以内の件数 3,730 3,872 3,982 4,184 4,260 4,303 4,341 4,387 4,425 4,471 4,514 4, 以内の割合 67% 67% 67% 68% 67% 66% 66% 66% 66% 66% 66% 66% 14

17 図はウェブサイト運営者に脆弱性を通知してから修正されるまでに要した数を脆弱性の種類別に分類しその傾向を示しています (*21) 全体の 47% の届出が 30 以内全体の 66% の届出が 90 以内に修正されています 1,20 1, % 5% 66%(90 以内の修正 ) 47%(30 以内の修正 ) その他 (399 件 ) メールの第三者中継 (45 件 ) OS コマンドインジェクション (79 件 ) セッション管理の不備 (82 件 ) 認証に関する不備 (87 件 ) HTTP レスポンス分割 (104 件 ) ファイルの誤った公開 (175 件 ) ディレクトリトラバーサル (193 件 ) DNS 情報の設定不備 (545 件 ) SQL インジェクション (844 件 ) クロスサイトスクリプティング (4,431 件 ) 4% 9% 10% 7% 9% 10% 12% 7% 15% 20 3% 2% ~5 6 ~10 11 ~20 21 ~30 31 ~50 51 ~ ~ ~200 ~300 図ウェブサイトの修正に要した数クロスサイトスクリプティング (4,431 件 ) SQLインジェクション (844 件 ) DNS 情報の設定不備 (545 件 ) ディレクトリトラバーサル (193 件 ) ファイルの誤った公開 (175 件 ) HTTPレスポンス分割 (104 件 ) 認証に関する不備 (87 件 ) セッション管理の不備 (82 件 ) OSコマンドインジェクション (79 件 ) メールの第三者中継 (45 件 ) その他 (399 件 ) 0% 20% 40% 60% 80% 100% 0~10 11 ~20 21 ~30 31 ~50 51 ~90 91 ~ ~ ~ 図ウェブサイトの修正に要した脆弱性種類別の数の傾向 (*21) 運営者から修正完了の報告があったものおよび脆弱性が修正されたと IPA で判断したものも含めて示していますなお 0 は詳細情報を通知した当に修正されたものまたは運営者へ詳細情報を通知する前に修正されたものです 15

18 長期化している届出の取扱い経過数ウェブサイト運営者から脆弱性を修正した旨の報告が無い場合 IPA は 1~2 ヶ月毎に電子メールや電話郵送などの手段でウェブサイト運営者に繰り返し連絡を試み脆弱性対策の実施を促しています図 2-22 はウェブサイトの脆弱性のうち取扱いが長期化 (IPA からウェブサイト運営者へ脆弱性を通知してから 90 以上修正した旨の報告が無い ) しているものについて経過数別の件数を示したものですこれらの合計は 387 件 ( 前四半期は 374 件 ) と増加していますこれらのうち SQL インジェクションという深刻度の高い脆弱性の割合は全体の約 16% を占めこの脆弱性はウェブサイトの情報が窃取されてしまうなどの危険性が高いものです ( 長期化合計 387 件 ) その他 SQL インジェクションクロスサイトスクリプティング ~ 200~ 300~ 400~ 500~ 600~ ~ ~ ~ 以上図取扱いが長期化 (90 以上経過 ) しているウェブサイトの経過数と脆弱性の種類表 2-7 は過去 2 年間の四半期末時点で取扱い中の届出と取扱いが長期化している届出の件数およびその割合を示しています表 2-7. 取扱いが長期化している届出件数および割合の四半期ごとの推移 2Q 3Q 4Q 1Q 2Q 3Q 4Q 取扱い中の件数長期化している件数長期化している割合 86% 83% 80% 77% 78% 71% 67% 78% 1Q 16

19 3. 関係者への要望脆弱性の修正促進のための各関係者への要望は次のとおりです 3-1. ウェブサイト運営者多くのウェブサイトで利用しているソフトウェア製品に脆弱性が発見されています自身のウェブサイトでどのようなソフトウェア製品を利用しているか把握し脆弱性対策を実施する事が必要です脆弱性の理解対策にあたっては次の IPA が提供するコンテンツが利用できます知っていますか? 脆弱性 ( ぜいじゃくせい ) : 安全なウェブサイトの作り方 : 安全な SQL の呼び出し方 : Web Application Firewall 読本 : 安全なウェブサイトの構築と運用管理に向けての 16 ヶ条 ~セキュリティ対策のチェックポイント~ IPA 脆弱性対策コンテンツリファレンスまたウェブサイトの脆弱性診断実施にあたっては次のコンテンツが利用できますウェブ健康診断仕様 : 動画で知ろう! クロスサイトスクリプティングの被害! ( 約 7 分 ): 製品開発者 JPCERT/CC はソフトウェア製品の脆弱性関連情報を製品開発者リストに基づき一般公表の調整等を行います迅速な調整が進められるよう製品開発者リストに登録してください (URL: また製品開発者自身が自社製品の脆弱性関連情報を発見した場合も対策情報を利用者へ周知するために JVN を活用することができます JPCERT/CC もしくは IPA へ連絡してくださいなお製品開発にあたっては次のコンテンツが利用できます組込みシステムのセキュリティへの取組みガイド(2010 年度改訂版 ) : ファジング: 製品出荷前に機械的に脆弱性をみつけよう : Android アプリの脆弱性の学習点検ツール AnCoLe : 一般のインターネットユーザー JVN や IPA JPCERT/CC など脆弱性情報や対策情報を公表しているウェブサイトを参照しパッチの適用など自発的なセキュリティ対策をごろから心がける必要がありますソフトウェアを利用する場合は脆弱性対策を実施してから利用してくださいなお一般インターネットユーザー向けには次のツールを提供しています MyJVN 脆弱性対策情報収集ツール : 脆弱性対策情報を効率的に収集するためのツール MyJVN バージョンチェッカ : MyJVN バージョンチェッカ for.net : 利用者の PC サーバ上にインストールされたソフトウェア製品のバージョンを容易にチェックする等の機能 3-4. 発見者脆弱性関連情報の適切な流通のため届出した脆弱性関連情報については脆弱性が修正されるまでは第三者に漏れないよう適切に管理してください 17

20 18 付表 1. ソフトウェア製品の脆弱性の原因分類脆弱性の原因説明届出において想定された脅威 1 アクセス制御の不備アクセス制御を行うべき個所においてアクセス制御が欠如している設定情報の漏洩通信の不正中継なりすまし任意のスクリプトの実行認証情報の漏洩 2 ウェブアプリケーションの脆弱性ウェブアプリケーションに対し入力された情報の内容の解釈や認証情報の取扱い出力時の処理に問題があるクロスサイトスクリプティング攻撃や SQL インジェクション攻撃などに利用されてしまうアクセス制限の回避価格等の改ざんサービス不能資源の枯渇重要情報の漏洩情報の漏洩セッションハイジャック通信の不正中継なりすまし任意のコマンドの実行任意のスクリプトの実行任意のファイルへのアクセス認証情報の漏洩 3 仕様上の不備 RFC 等の公開された規格に準拠して設計実装した結果問題が生じるものサービス不能資源の枯渇 4 証明書の検証に関する不備ウェブブラウザやメールクライアントソフトに証明書を検証する機能が実装されていないまたは検証が正しく行われずに偽の証明書を受けいれてしまう証明書の確認不能なりすまし 5 セキュリティコンテキストの適用の不備本来厳しい制限のあるセキュリティコンテキストで取り扱うべき処理を緩い制限のセキュリティコンテキストで処理してしまうアプリケーションの異常終了情報の漏洩任意のコードの実行任意のスクリプトの実行 6 バッファのチェックの不備想定外の長さの入力が行われた場合に長さをチェックせずバッファに入力してしまうバッファオーバーフロー攻撃に利用されてしまうサービス不能任意のコードの実行任意のコマンドの実行 7 ファイルのパス名内容のチェックの不備処理の際のパラメータとして指定されているディレクトリ名やファイル名ファイルの内容をチェックしていない任意のディレクトリのファイルを指定できてしまいディレクトリトラバーサル攻撃に利用されてしまうまた破損したファイルや不正に書き換えられたファイルを処理した際に不具合が生じるアプリケーションの異常終了サービス不能資源の枯渇任意のファイルへのアクセス認証情報の漏洩

21 付表 2. ウェブサイトの脆弱性の分類脆弱性の種類深刻度説明ファイルの誤った公開パス名パラメータの未チェックディレクトリトラバーサルセッション管理の不備 SQL インジェクション高高高高高 6 DNS 情報の設定不備高 7 オープンプロキシ中クロスサイトスクリプティングクロスサイトリクエストフォージェリ HTTP レスポンス分割セキュリティ設定の不適切な変更 12 リダイレクタの不適切な利用中中中中中一般に公開すべきでないファイルが公開されており自由に閲覧できる状態になっているユーザからの入力を処理する際のパラメータとして指定されているファイル名をユーザが変更しウェブサーバ上の任意のディレクトリのファイルを指定できてしまう届出において想定された脅威個人情報の漏洩サーバ内ファイルの漏洩データの改ざん消去なりすましサーバ内ファイルの漏洩ウェブサーバ上のディレクトリのアク個人情報の漏洩セス権を超えて本来許可されている範サーバ内ファイルの漏洩囲外のディレクトリにアクセスできるセッション管理に推測可能な情報を使用しているため他のユーザの情報が容易に推測でき他のユーザになりすましてサービスを利用することができる入力フォームなどへ SQL コマンド ( データベースへの命令 ) を入力しデータベース内の情報の閲覧更新削除などができる DNS サーバに不適切な情報が登録されているため第三者がそのドメイン名の持ち主であるかのようにふるまえてしまう外部の第三者により他のサーバへのアクセスを中継するサーバとして利用され不正アクセスなどの際にアクセス元を隠すための踏み台にされてしまうユーザの Cookie 情報を知らないうちに転送させたり偽の情報を表示させたりするような罠のリンクをユーザにクリックさせ個人情報等を盗むことができるユーザを罠のページに誘導することでそのユーザが登録済みのサイトにひそかにアクセスさせ登録情報の変更や商品の購入をさせることができる攻撃者がユーザに対し悪意のある要求をウェブサーバに送信するように仕向けることでウェブサーバからの応答を分割させて応答内容をすり替えユーザに対して偽のページを表示させることができるユーザに対しソフトウェアをインストールさせたりブラウザのセキュリティレベルを下げるよう指示することでクライアント PC のセキュリティ設定を低下させるウェブサーバに設置したリダイレクタが悪意あるリンクへの踏み台にされたりそのウェブサイト上で別のサイト上のページを表示させられてしまう Cookie 情報の漏洩個人情報の漏洩なりすまし個人情報の漏洩サーバ内ファイルの漏洩データの改ざん消去ドメイン情報の挿入踏み台 Cookie 情報の漏洩サーバ内ファイルの漏洩個人情報の漏洩データの改ざん消去なりすまし本物サイト上への偽情報の表示データの改ざん消去ウェブキャッシュ情報のすり替え利用者のセキュリティレベルの低下踏み台本物サイト上への偽情報の表示 19

発見者脆弱性の種類深刻度説明 13 フィルタリングの回避 14 OS コマンドインジェクション中中 15 メールの第三者中継低 16 HTTPS の不適切な利用低 17 価格等の改ざん低ウェブサイトのサービスやブラウザの機能として提供されているフィルタリング機能が回避される問題これにより本来制限されるはずのウェブページを閲覧してしまう届出において想定された脅威

22 発見者脆弱性の種類深刻度説明 13 フィルタリングの回避 14 OS コマンドインジェクション中中 15 メールの第三者中継低 16 HTTPS の不適切な利用低 17 価格等の改ざん低ウェブサイトのサービスやブラウザの機能として提供されているフィルタリング機能が回避される問題これにより本来制限されるはずのウェブページを閲覧してしまう届出において想定された脅威利用者のセキュリティレベルの低下なりすまし攻撃者がウェブアプリケーションを介してウェブサーバの OS コマンドを実行できてしまいサーバ内ファイルの閲覧任意のコマンドの実行やシステム操作不正なプログラムの実行などを行われてしまう利用者が入力した内容を管理者が指定したメールアドレスに送信する機能でメールシステムの不正利外部の利用者が宛先メールアドレスを用自由に指定できてしまい迷惑メール送信の踏み台に悪用される HTTPS による暗号化をしているが暗号の選択や設定が十分でなかったりウェブサイトでのユーザへの説明に間違なりすましいがあるまたはウェブサイトの設計上ユーザから証明書が確認できないショッピングサイトにおいて価格情報等が利用者側で書き換えられる書き換データの改ざんえによる被害はウェブサイト側に限定される API : Application Program Interface RFC : Request For Comments CGI : Common Gateway Interface SQL : Structured Query Language DNS : Domain Name System SSI : Server Side Include HTTP : Hypertext Transfer Protocol SSL : Secure Socket Layer HTTPS : Hypertext Transfer Protocol Security TCP : Transmission Control Protocol ISAKMP : Internet Security Association URI : Uniform Resource Identifier Key Management Protocol URL : Uniform Resource Locator MIME : Multipurpose Internet Mail Extension 付図 1. 情報セキュリティ早期警戒パートナーシップ ( 脆弱性関連情報の取扱制度 ) 情報セキュリティ早期警戒パートナーシップソフトウェア製品の脆弱性ウェブサイトの脆弱性脆弱性関連情報届出脆弱性関連情報届出受付分析機関報告された脆弱性関連情報の内容確認検証分析支援機関産総研など脆弱性関連情報通知調整機関公表の決定海外の調整機関との連携等脆弱性関連情報通知対応状況の集約公表の調整等ウェブサイト運営者検証対策実施脆弱性対策情報ポータルソフトウェアシステム製品開発者導入支援者検証対策実施セキュリティ対策推進協議会等対応状況等公表個人情報の漏えい時は事実関係を公表ユーザ政府企業個人期待効果 1 製品開発者及びウェブサイト運営者による脆弱性対策を促進 2 不用意な脆弱性関連情報の公表や脆弱性の放置を抑制 3 個人情報等重要情報の流出や重要システムの停止を予防 IPA: 独立行政法人情報処理推進機構 JPCERT/CC: 一般社団法人 JPCERT コーディネーションセンター産総研 : 国立研究開発法人産業技術総合研究所 20

ソフトウェア等の脆弱性関連情報に関する届出状況[2018年第1四半期（1月～3月）]

ソフトウェア等の脆弱性関連情報に関する届出状況[2018年第1四半期（1月～3月）] Japan Computer Emergency Response Team Coordination Center 電子署名者 : Japan Computer Emergency Response Team Coordination Center DN : c=jp, st=tokyo, l=chiyoda-ku, o=japan Computer Emergency Response Team