1.1 2008年第3四半期の登録状況

　表1、図1に示すように、2008年第3四半期（2008年7月1日から9月30日まで）の脆弱性対策情報の登録件数は、国内製品開発者から収集したもの10件、JVNから収集したもの42件、NVDから収集したもの253件、合計305件でした。

　公開開始（2007年4月25日）からの累計は、国内製品開発者から収集したもの62件、JVNから収集したもの516件、NVDから収集したもの4,769件、合計5,347件となりました。

表1．2008年第3四半期の登録件数

1.2 2008年第3四半期に登録した脆弱性の種類

　図2にJVN iPediaへ2008年第3四半期に登録した脆弱性について、CWE（共通脆弱性タイプ一覧：Common Weakness Enumeration）の分類で、脆弱性の種類ごとの件数を示します。

　2008年第3四半期に登録した脆弱性の種類で、件数が多い上位10種類は、CWE-399（リソース管理の問題）が40件、CWE-264（認可・権限・アクセス制御）が37件、CWE-20（不十分な入力確認）が35件、CWE-119（バッファエラー）が31件、CWE-79（クロスサイト・スクリプティング）が29件、CWE-189（数値処理の問題）が28件、CWE-200（情報漏えい）が14件、CWE-94（コード・インジェクション）が10件、CWE-16（環境設定）が5件、CWE-22（パス・トラバーサル）が5件となっています。

　これらは広く知れ渡っている脆弱性の種類です。製品開発者は、これらの脆弱性に関してIPAが公開している「安全なウェブサイトの作り方」や「セキュア・プログラミング講座」などを参考に、ソフトウェア製品の企画・設計段階から情報セキュリティを考慮する必要があります。

2.1 JVN iPediaに登録済みの脆弱性の深刻度

　JVN iPediaでは、共通脆弱性評価システムCVSSにより、それぞれの脆弱性の深刻度を公表しています。
　図3にJVN iPediaに登録済みの脆弱性について、製品開発者やセキュリティポータルサイト等が脆弱性対策情報を公開した日を基にした、脆弱性の深刻度の公開年別推移を示します。
　2008年は、レベルIII（危険、CVSS基本値=7.0〜10.0）が46%、レベルII（警告、CVSS基本値=4.0〜6.9）が49%、レベルI（注意、CVSS基本値=0.0〜3.9）が5%となっています。
　2004年以降、脆弱性対策情報の公開が急増しており、脆弱性の深刻度が高いものも多く、製品利用者は情報を日々収集し、製品のバージョンアップやセキュリティ対策パッチの適用などが必要です。

2.2 JVN iPediaに登録済みの脆弱性の製品の種類

　図4にJVN iPediaに登録済みの脆弱性について、ソフトウェア製品の種類の公開年別推移を示します。
　Internet Explorer、FireFox、Microsoft Officeなどのデスクトップアプリケーションや、Webサーバ、アプリケーションサーバ、データベースなどのミドルウェア、また、PHP、Java、GNUライブラリなどの開発・運用系など、アプリケーション・ソフトウェアの脆弱性対策情報の公開が年々増加しています。毎年、数多くのアプリケーションが新しく開発され、それらのアプリケーションにおいて脆弱性が発見されています。
　Windows、Mac OS、UNIX、LinuxなどのOSに関しては、2005年頃までは脆弱性の公開件数が増加傾向にありましたが、2005年以降は公開件数が減少しています。OSに関しては、毎年脆弱性は発見されるものの、後継製品での脆弱性対策が迅速に施されているようです。
　2005年頃から、ネットワーク機器、携帯電話、DVDレコーダなどの情報家電など、組込みソフトウェアの脆弱性の対策情報が徐々に公開されており、今四半期においては iPhone、iPod touchが公開されています。

2.3 オープンソースソフトウェアの割合

　図5にJVN iPediaに登録済みの脆弱性について、オープンソースソフトウェア(OSS)とOSS以外のソフトウェアの公開年別推移を示します。その割合は全体でOSSが37%、OSS以外が63%となっています。OSSの割合の年別推移を見ると、1998年から2003年までは上昇傾向でしたが、2003年 をピークに、その後は低下傾向となっています。

2.5 ソフトウェア製品の開発者（ベンダ）の内訳

　JVN iPediaに登録済みのソフトウェア製品の開発者（ベンダ）に関して、図6にOSSのベンダの内訳、図7にOSS以外のベンダの内訳を示します。
　図6に示すように、OSSは、国内ベンダが51、海外ベンダ（日本法人有り）が21、海外ベンダ（日本法人無し）が157、合計229ベンダとなっています。また、図7に示すように、OSS以外は、国内ベンダが91、海外ベンダ（日本法人有り）が42、海外ベンダ（日本法人無し）が13、合計146ベンダとなっています。
　OSSに関しては、日本法人の無い海外ベンダの脆弱性対策情報が数多く登録されています。OSSを利用する場合、製品のバージョンアップやセキュリティパッチの適用などのノウハウを持たない製品利用者は、製品のサポートサービスの活用、保守契約上の取り決め等の工夫が必要です。

3．脆弱性対策情報の活用状況

　表2は今四半期にアクセスの多かったJVN iPediaの脆弱性対策情報を、アクセス数の多い順番に上位20件までを示しています。DNS、Lhaplus、Apache、Adobe Reader/Acrobat、Sun JREなど、よく使用されている製品で、脆弱性の深刻度が高く、近年公開された情報に多数のアクセスがありました。

　表3は国内の製品開発者から収集した脆弱性対策情報に関してアクセス数上位5件を示しています。

表2.JVN iPediaの脆弱性対策情報のアクセス数上位20件

表3.国内の製品開発者から収集した脆弱性対策情報の中のアクセス数上位5件

注1）CVSS基本値の深刻度による色分け

注2）公開日の四半期による色分け

(*1)Japan Vulnerability Notes。脆弱性対策情報ポータルサイト。製品開発者の脆弱性への対応状況を公開し、システムのセキュリティ対策を支援しています。IPA、JPCERT/CCが共同で運営しています。
http://jvn.jp/

(*2)National Institute of Standards and Technology。米国国立標準技術研究所。米国の科学技術分野における計測と標準に関する研究を行う機関。
http://www.nist.gov/

(*3)National Vulnerability Database。NISTが運営する脆弱性データベース。
http://nvd.nist.gov/home.cfm

(*4)MITRE Corporation。米国政府向けの技術支援や研究開発を行う非営利組織。
http://www.mitre.org/

• プレスリリース全文

独立行政法人 情報処理推進機構 セキュリティセンター(IPA/ISEC) 山岸／渡辺

Tel: 03-5978-7527 Fax: 03-5978-7518
E-mail: