脆弱性対策情報データベースJVN iPediaの登録状況 [2020年第2四半期（4月～6月）]

1. 2020年第2四半期 脆弱性対策情報データベース JVN iPediaの登録状況

　脆弱性対策情報データベース「JVN iPedia（ https://jvndb.jvn.jp/ ）」は、ソフトウェア製品に関する脆弱性対策情報を2007年4月25日から日本語で公開しています。システム管理者が迅速に脆弱性対策を行えるよう、1）国内のソフトウェア開発者が公開した脆弱性対策情報、2）脆弱性対策情報ポータルサイトJVN(*1)で公表した脆弱性対策情報、3）米国国立標準技術研究所NIST(*2)の脆弱性データベース「NVD(*3)」が公開した脆弱性対策情報を集約、翻訳しています。

1-1. 脆弱性対策情報の登録状況

～脆弱性対策情報の登録件数の累計は120,883件～

　2020年第2四半期（2020年4月1日から6月30日まで）にJVN iPedia日本語版へ登録した脆弱性対策情報は下表の通りとなり、2007年4月25日にJVN iPediaの公開を開始してから本四半期までの脆弱性対策情報の登録件数の累計は、120,883件になりました（表1-1、図1-1）。
　また、JVN iPedia英語版へ登録した脆弱性対策情報は下表の通り、累計で2,159件になりました。

表1-1．2020年第2四半期の登録件数

	情報の収集元	登録件数	累計件数
日本語版	国内製品開発者	7 件	239 件
	JVN	172 件	9,271 件
	NVD	4,100 件	111,373 件
	計	4,279 件	120,883 件
英語版	国内製品開発者	7 件	237 件
	JVN	20 件	1,922 件
	計	27 件	2,159 件

2. JVN iPediaの登録データ分類

2-1. 脆弱性の種類別件数

　図2-1は、2020年第2四半期（4月～6月）にJVN iPediaへ登録した脆弱性対策情報を、共通脆弱性タイプ一覧(CWE)によって分類し、件数を集計したものです。

　集計結果は件数が多い順に、CWE-79（クロスサイトスクリプティング）が463件、CWE-200（情報漏えい）が352件、CWE-20（不適切な入力確認）が271件、CWE-269（不適切な権限管理）が257件、CWE-787（境界外書き込み）が246件でした。
　最も件数の多かったCWE-79（クロスサイトスクリプティング）は、悪用されると偽のウェブページが表示されたり、情報が漏えいしたりするおそれがあります。

　製品開発者は、ソフトウェアの企画・設計段階から、脆弱性の低減に努めることが求められます。IPAではそのための資料やツールとして、開発者や運営者がセキュリティを考慮したウェブサイトを作成するための資料「安全なウェブサイトの作り方 (*4)」や、「IPAセキュア・プログラミング講座(*5)」、脆弱性の仕組みを実習形式や演習機能で学ぶことができる脆弱性体験学習ツール「AppGoat(*6)」などを公開しています。

2-2. 脆弱性に関する深刻度別割合

　図2-2はJVN iPediaに登録済みの脆弱性対策情報をCVSSv2の値に基づいて深刻度別に分類し、登録年別にその推移を示したものです。

　2020年にJVN iPediaに登録した脆弱性対策情報は深刻度別に、レベルIIIが全体の23.8%、レベルIIが61.7%、レベルIが14.5%となっており、情報の漏えいや改ざんされるような危険度が高い脅威であるレベルII以上が85.5％を占めています。

　図2-3はJVN iPediaに登録済みの脆弱性対策情報をCVSSv3の値に基づいて深刻度別に分類し、登録年別にその推移を示したものです。

　2020年にJVN iPediaに登録した脆弱性対策情報は深刻度別に、「緊急」が全体の16.0%、「重要」が41.5%、「警告」が40.4%、「注意」が2.1%となっています。

　既知の脆弱性による脅威を回避するため、製品開発者は常日頃から新たに報告される脆弱性対策情報に注意を払うと共に、脆弱性が解消されている製品へのバージョンアップやアップデートなどを速やかに行ってください。

　なお、新たに登録したJVN iPediaの情報を、RSS形式やXML形式(*7) で公開しています。

2-3. 脆弱性対策情報を公開した製品の種類別件数

　図2-4はJVN iPediaに登録済みの脆弱性対策情報をソフトウェア製品の種類別に件数を集計し、年次でその推移を示したものです。2020年で最も多い種別は「アプリケーション」に関する脆弱性対策情報で、2020年の件数全件の約68.4%（6,022件／全8,798件）を占めています。

　図2-5は重要インフラなどで利用される、産業用制御システムに関する脆弱性対策情報の件数を集計し、年次でその推移を示したものです。これまでに累計で2,627件を登録しています。

2-4. 脆弱性対策情報の製品別登録状況

　表2-1は2020年第2四半期（4月～6月）にJVN iPediaへ登録された脆弱性対策情報の中で登録件数が多かった製品の上位20件を示したものです。

　本四半期において最も登録件数が多かった製品は前四半期から引き続き、Microsoft Windows 10となりました。2位以降も同社製品であるWindows OSが多くランクインされています。他にもGoogleが提供するAndroidやアップルが提供するiOS等、OS製品に関する脆弱性対策情報が多く登録されました。

　JVN iPediaは、表に記載されている製品以外にも幅広い脆弱性対策情報を登録公開しています。製品の利用者や開発者は、自組織などで使用しているソフトウェアの脆弱性対策情報を迅速に入手し、効率的な対策に役立ててください(*8)。

表2-1. 製品別JVN iPediaの脆弱性対策情報登録件数　上位20件 [2020年4月～2020年6月]

順位	カテゴリ	製品名（ベンダ名）	登録件数
1	OS	Microsoft Windows 10 (マイクロソフト)	333
2	OS	Microsoft Windows Server (マイクロソフト)	327
3	OS	Android (Google)	319
4	OS	Microsoft Windows Server 2019 (マイクロソフト)	310
5	OS	Microsoft Windows Server 2016 (マイクロソフト)	278
6	ファームウェア	Qualcomm component (クアルコム)	210
7	OS	Microsoft Windows Server 2012 (マイクロソフト)	198
8	OS	Microsoft Windows 8.1 (マイクロソフト)	196
9	OS	Microsoft Windows RT 8.1 (マイクロソフト)	192
10	OS	Microsoft Windows Server 2008 (マイクロソフト)	167
11	OS	Microsoft Windows 7 (マイクロソフト)	166
12	開発環境	GitLab (GitLab.org)	139
13	ブラウザ	Google Chrome (Google)	133
14	ナレッジベースソフトウェア	PHPKB (Chadha Software Technologies)	119
15	統合業務パッケージ	Oracle E-Business Suite (オラクル)	97
16	OS	iOS (アップル)	83
16	OS	Debian GNU/Linux (Debian)	83
18	OS	Apple Mac OS X (アップル)	75
19	ブラウザ	Mozilla Firefox (Mozilla Foundation)	71
20	PDF 閲覧・編集	Foxit PhantomPDF (Foxit Software Inc)	69

3. 脆弱性対策情報の活用状況

　表3-1は2020年第2四半期（4月～6月）にアクセスの多かったJVN iPediaの脆弱性対策情報の上位20件を示したものです。

　本四半期は、上位20件の内15位と17位以外の18件が、脆弱性対策情報ポータルサイトJVN で公表した脆弱性対策情報でした。JVNから公表した情報の中には、「情報セキュリティ早期警戒パートナーシップ(*9)」に基づいて公表された情報も含まれています。これらの情報は注目度が高く、ニュースサイト等でも取り上げられたことからアクセス数が増加したものと考えられます。

　表3-2は国内の製品開発者から収集した脆弱性対策情報でアクセスの多かった上位5件を示しています。

注1) CVSSv2基本値の深刻度による色分け

CVSS基本値 = 0.0～3.9 深刻度=レベルI（注意）

CVSS基本値 = 4.0～6.9 深刻度=レベルII（警告）

CVSS基本値 = 7.0～10.0 深刻度=レベルIII（危険）

注2) CVSSv3基本値の深刻度による色分け

CVSS基本値 = 0.1～3.9 深刻度=注意

CVSS基本値 = 4.0～6.9 深刻度=警告

CVSS基本値 = 7.0～8.9 深刻度=重要

CVSS基本値 = 9.0～10.0 深刻度=緊急

注3) 公開日の年による色分け

2018年以前の公開

2019年の公開

2020年の公開

脚注

資料のダウンロード

参考情報

本件に関するお問い合わせ先