表1、図1に示すように、2008年第2四半期（2008年4月1日から6月30日まで）の脆弱性対策情報の登録件数は、国内製品開発者から収集したもの8件、JVNから収集したもの24件、NVDから収集したもの266件、合計298件でした。
　公開開始（2007年4月25日）からの累計は、国内製品開発者から収集したもの52件、JVNから収集したもの472件、NVDから収集したもの4518件、合計5042件で、今四半期で5,000件に達しました。

表1．2008年第2四半期の登録件数

2.1 JVN iPediaに登録済みの脆弱性の深刻度

　JVN iPediaでは、共通脆弱性評価システムCVSS^(*4)により、それぞれの脆弱性の深刻度^(*5)を公表しています。
　図2にJVN iPediaに登録済みの脆弱性について、製品開発者やセキュリティポータルサイト等が脆弱性対策情報を公開した日を基にした、脆弱性の深刻度の公開年別推移を示します。
　2008年は、レベルIII（危険、CVSS基本値=7.0〜10.0）が45%、レベルII（警告、CVSS基本値=4.0〜6.9）が50%、レベルI（注意、CVSS基本値=0.0〜3.9）が5%となっています。
　2004年以降、脆弱性対策情報の公開が急増しており、脆弱性の深刻度が高いものも多く、製品利用者は情報を日々収集し、製品のバージョンアップやセキュリティ対策パッチの適用などが必要です。

2.2 JVN iPediaに登録済みの脆弱性の種類

　図3にJVN iPediaに登録済みの脆弱性について、製品開発者やセキュリティポータルサイト等が脆弱性対策情報を公開した日を基にした、脆弱性の種類の公開年別推移を示します。
　バッファオーバーフロー（JVN iPediaに登録されている本脆弱性に関する最初の公開年は1998年）、アクセス制御の不備（最初の公開年は1999年）、クロスサイト・スクリプティング（最初の公開年は2000年）など、広く知れ渡っている脆弱性の対策情報が数多く公開されています。
　製品開発者は、IPAで公開している「安全なウェブサイトの作り方」や「セキュア・プログラミング講座」などを参考に、ソフトウェア製品の企画・設計段階から情報セキュリティを考慮する必要があります。

2.3 JVN iPediaに登録済みの脆弱性の製品の種類

　図4にJVN iPediaに登録済みの脆弱性について、ソフトウェア製品の種類の公開年別推移を示します。
　Internet Explorer、FireFox、Microsoft Officeなどのデスクトップアプリケーションや、Webサーバ、アプリケーションサーバ、データベースなどのミドルウェア、また、PHP、Java、GNUライブラリなどの開発・運用系など、アプリケーション・ソフトウェアの脆弱性対策情報の公開が年々増加しています。毎年、数多くのアプリケーションが新しく開発され、それらのアプリケーションにおいて脆弱性が発見されています。
　Windows、Mac OS、UNIX、LinuxなどのOSに関しては、2005年頃までは脆弱性の公開件数が増加傾向にありましたが、2005年以降は公開件数が減少しています。OSに関しては、毎年脆弱性は発見されるものの、後継製品での脆弱性対策が迅速に施されているようです。
　2005年頃から、ルータやスイッチなどのネットワーク機器、プリンタやハードディスクなどの周辺機器、携帯電話、DVDレコーダなどの情報家電など、組込みソフトウェアの脆弱性の対策情報が徐々に公開されています。

2.4 オープンソースソフトウェアの割合

　図5にJVN iPediaに登録済みの脆弱性について、オープンソースソフトウェア(OSS)とOSS以外のソフトウェアの公開年別推移を示します。その割合は全体でOSSが37%、OSS以外が63%となっています。OSSの割合の年別推移を見ると、1998年から2003年までは上昇傾向でしたが、2003年 をピークに、その後は低下傾向となっています。

2.5 ソフトウェア製品の開発者（ベンダ）の内訳

　JVN iPediaに登録済みのソフトウェア製品の開発者（ベンダ）に関して、図6にOSSのベンダの内訳、図7にOSS以外のベンダの内訳を示します。
　図6に示すように、OSSは、国内ベンダが47、海外ベンダ（日本法人有り）が20、海外ベンダ（日本法人無し）が144、合計211ベンダとなっています。また、図7に示すように、OSS以外は、国内ベンダが87、海外ベンダ（日本法人有り）が40、海外ベンダ（日本法人無し）が17、合計144ベンダとなっています。
　OSSに関しては、日本法人の無い海外ベンダの脆弱性対策情報が数多く登録されています。OSSを利用する場合、製品のバージョンアップやセキュリティパッチの適用などのノウハウを持たない製品利用者は、製品のサポートサービスの活用、保守契約上の取り決め等の工夫が必要です。

　表2は今四半期にアクセスの多かったJVN iPediaの脆弱性対策情報を、アクセス数の多い順番に20位まで示しています。Lhaplus、Mozilla Firefox、Adobe Reader/Acrobat、Microsoft Excel、Sun JREなど、よく使用されている製品で、脆弱性の深刻度が高く、近年公開された情報に多数のアクセスがありました。

　表3は国内の製品開発者から収集した脆弱性対策情報に関してアクセス数トップ5を示しています。

表2.JVN iPediaの脆弱性対策情報のアクセス数トップ20

表3.国内の製品開発者から収集した脆弱性対策情報の中のアクセス数トップ5

(*1)Japan Vulnerability Notes。脆弱性対策情報ポータルサイト。製品開発者の脆弱性への対応状況を公開し、システムのセキュリティ対策を支援しています。IPA、JPCERT/CCが共同で運営しています。
http://jvn.jp/

(*2)National Institute of Standards and Technology。米国国立標準技術研究所。米国の科学技術分野における計測と標準に関する研究を行う機関。
http://www.nist.gov/

(*3)National Vulnerability Database。NISTが運営する脆弱性データベース。
http://nvd.nist.gov/nvd.cfm

(*4)共通脆弱性評価システムCVSS v2概説。
http://www.ipa.go.jp/security/vuln/SeverityCVSS2.html

(*5)脆弱性の深刻度評価の新バージョンCVSS v2への移行について。CVSS（Common Vulnerability Scoring System、共通脆弱性評価システム）。
http://www.ipa.go.jp/security/vuln/SeverityLevel2.html

• プレスリリース全文（282KB）

Tel: 03-5978-7527 Fax: 03-5978-7518
E-mail: