1.1 広く知れ渡っている種類の脆弱性対策情報が数多く公開されています

　図3は、JVN iPediaへ今四半期に登録した脆弱性対策情報を、CWE^(*4)（共通脆弱性タイプ一覧：Common Weakness Enumeration）で分類した、脆弱性の種類ごとの件数です。

　件数が多い脆弱性の種類は、CWE-399（リソース管理の問題）が56件、CWE-119（バッファエラー）が37件、CWE-264（認可・権限・アクセス制御の脆弱性）が32件、CWE-189（数値処理の問題）が21件、CWE-79（クロスサイト・スクリプティング）が19件、CWE-20（不十分な入力確認）が15件、CWE-200（情報漏えい）が14件、CWE-94（コード・インジェクション）が9件、などとなっています。

　これらは広く知れ渡っている脆弱性の種類です。製品開発者は、これらの脆弱性に関してIPAが公開している「安全なウェブサイトの作り方^(*5)」や「セキュア・プログラミング講座^(*6)」などを参考に、ソフトウェア製品の企画・設計段階から情報セキュリティを考慮する必要があります。

1.2 JVN iPediaに登録済みの脆弱性の深刻度

　図4にJVN iPediaに登録済みの脆弱性について、製品開発者やセキュリティポータルサイト等が脆弱性対策情報を公開した日を基にした、脆弱性の深刻度の公開年別推移を示します。2004年以降、脆弱性対策情報の公開が急増しており、2008年まで増加傾向となっています。

　JVN iPediaでは、共通脆弱性評価システムCVSS^(*7)により、それぞれの脆弱性の深刻度^(*8)を公表しています。2008年は、レベルIII（危険、CVSS基本値=7.0〜10.0）が44%、レベルII（警告、CVSS基本値=4.0〜6.9）が44%、レベルI（注意、CVSS基本値=0.0〜3.9）が12%となっています。

　深刻度の高い脆弱性が多数公開されていることから、製品利用者は情報を日々収集し、製品のバージョンアップやセキュリティ対策パッチの適用などを遅滞なく行うことが必要です。

1.3 JVN iPediaにて脆弱性対策情報を公表した製品の種類

　図5にJVN iPediaに登録済みの脆弱性について、ソフトウェア製品の種類の公開年別推移を示します。

　Internet Explorer、Firefox、Microsoft Officeなどのデスクトップアプリケーションや、Webサーバ、アプリケーションサーバ、データベースなどのミドルウェア、また、PHP、Java、GNUライブラリなどの開発・運用系など、アプリケーション・ソフトウェアの脆弱性対策情報の公開が年々増加しています。毎年、数多くのアプリケーションが新しく開発され、それらのアプリケーションにおいて脆弱性が発見されており、アプリケーション・ソフトウェアのセキュリティ対策は特に重要となっています。

　Windows、Mac OS、UNIX、LinuxなどのOSに関しては、2005年頃までは脆弱性の公開件数が増加傾向にありましたが、2005年以降は公開件数が減少しています。OSに関しては、毎年脆弱性は発見されるものの、後継製品での脆弱性対策が迅速に施されているようです。

　2005年頃から、ネットワーク機器、携帯電話、DVDレコーダなどの情報家電など、組込みソフトウェアの脆弱性の対策情報が徐々に公開されています。

1.4 オープンソースソフトウェアの割合

　図6にJVN iPediaに登録済みの脆弱性について、オープンソースソフトウェア(OSS)とOSS以外のソフトウェアの公開年別推移を示します。その割合は全体でOSSが32%、OSS以外が68%となっています。OSSの割合の年別推移を見ると、1998年から2003年までは上昇傾向でしたが、2003年をピークに、その後は低下傾向となっています。

1.5 ソフトウェア製品の開発者（ベンダ）の内訳

　JVN iPediaに登録済みのソフトウェア製品の開発者（ベンダー）に関して、図7にOSSのベンダーの内訳、図8にOSS以外のベンダーの内訳を示します。

　OSSは、国内ベンダーが54、海外ベンダー（日本法人有り）が21、海外ベンダー（日本法人無し）が176、合計251ベンダーとなっています（図7）。また、OSS以外は、国内ベンダーが95、海外ベンダー（日本法人有り）が48、海外ベンダー（日本法人無し）が33、合計176ベンダーとなっています（図8）。

　OSSに関しては、日本法人の無い海外ベンダーの脆弱性対策情報が数多く登録されています。OSSを利用する場合、製品のバージョンアップやセキュリティパッチの適用などのノウハウを持たない製品利用者は、製品のサポートサービスの活用、保守契約上の取り決め等の考慮が必要です。

　表2は今四半期にアクセスの多かったJVN iPediaの脆弱性対策情報を、アクセス数の多い順番に上位20件まで示しています。Becky! Internet Mail、Apache Tomcat、PHPおよびPHPを使用した製品など、よく使用されている製品で、近年公開された情報に多数のアクセスがありました。

　なお、DNS実装やウイルスセキュリティ、Apache Tomcat、Lhaplusなどは、脆弱性対策情報の公開から時間が経過してもアクセス数が高く、利用者が注目している情報となっています。

　表3は国内の製品開発者から収集した脆弱性対策情報に関して、アクセス数上位5件を示しています。

表2.JVN iPediaの脆弱性対策情報のアクセス数上位20件

表3.国内の製品開発者から収集した脆弱性対策情報の中のアクセス数上位5件

注1）CVSS基本値の深刻度による色分け

注2）公開日の四半期による色分け

(*1)Japan Vulnerability Notes。脆弱性対策情報ポータルサイト。製品開発者の脆弱性への対応状況を公開し、システムのセキュリティ対策を支援しています。IPA、JPCERT/CCが共同で運営しています。
http://jvn.jp/

(*2)National Institute of Standards and Technology。米国国立標準技術研究所。米国の科学技術分野における計測と標準に関する研究を行う機関。
http://www.nist.gov/

(*3)National Vulnerability Database。NISTが運営する脆弱性データベース。
http://nvd.nist.gov/home.cfm

(*4)「共通脆弱性タイプ一覧CWE概説」を参照下さい。
http://www.ipa.go.jp/security/vuln/CWE.html

(*5)安全なウェブサイトの作り方。
http://www.ipa.go.jp/security/vuln/websecurity.html

(*6)セキュア・プログラミング講座。
http://www.ipa.go.jp/security/awareness/vendor/programmingv2/index.html

(*7)共通脆弱性評価システムCVSS v2概説。
http://www.ipa.go.jp/security/vuln/SeverityCVSS2.html

(*8)脆弱性の深刻度評価の新バージョンCVSS v2への移行について。CVSS（Common Vulnerability Scoring System、共通脆弱性評価システム）。
http://www.ipa.go.jp/security/vuln/SeverityLevel2.html

• プレスリリース全文

• JVNRSSを用いた脆弱性対策情報の発信ガイド
• 脆弱性対策情報データベースJVN iPediaの登録状況の一覧

Tel: 03-5978-7527 Fax: 03-5978-7518
E-mail: