情報セキュリティ

脆弱性対策情報データベースJVN iPediaの登録状況 [2024年第3四半期(7月〜9月)]

公開日:2024年10月16日

最終更新日:2024年10月16日

独立行政法人情報処理推進機構

1. 2024年第3四半期 脆弱性対策情報データベース JVN iPediaの登録状況

脆弱性対策情報データベース「JVN iPedia」は、ソフトウェア製品に関する脆弱性対策情報を2007年4月25日から日本語で公開しています。システム管理者が迅速に脆弱性対策を行えるよう、1)国内のソフトウェア開発者が公開した脆弱性対策情報、2)脆弱性対策情報ポータルサイトJVN(注釈1)で公表した脆弱性対策情報、3)米国国立標準技術研究所NIST(注釈2)の脆弱性データベース「NVD(注釈3)」が公開した脆弱性対策情報を集約、翻訳しています。

1-1. 脆弱性対策情報の登録状況

脆弱性対策情報の登録件数の累計は216,796件

2024年第3四半期(2024年7月1日から9月30日まで)にJVN iPedia日本語版へ登録した脆弱性対策情報は表1-1の通りとなり、2007年4月25日にJVN iPediaの公開を開始してから本四半期までの、脆弱性対策情報の登録件数の累計は216,796件になりました(表1-1、図1-1)。なお、2024年第3四半期にJVN iPediaの登録件数が増加した理由は、当該期間中にNVDにおける脆弱性情報の公開が増加し、それに伴う公開をしたためです。

また、JVN iPedia英語版へ登録した脆弱性対策情報は表1-2の通り、累計で2,902件になりました。

表1-1.2024年第3四半期の登録件数(日本語版)
情報の収集元
登録件数
累計件数
国内製品開発者
7件
288件
JVN
245件
15,698件
NVD
8,511件
200,810件
8,763 216,796

表1-2.2024年第3四半期の登録件数(英語版)
情報の収集元
登録件数
累計件数
国内製品開発者
7件
291件
JVN
52件
2,611件
59件
2,902件
  • 図1-1. JVN iPediaの登録件数の四半期別推移

2. JVN iPediaの登録データ分類

2-1. 脆弱性の種類別件数

図2-1は、2024年第3四半期(7月~9月)にJVN iPediaへ登録した脆弱性対策情報を、共通脆弱性タイプ一覧(CWE)によって分類し、件数を集計したものです。

集計結果は件数が多い順に、CWE-79(クロスサイトスクリプティング)が1,160件、CWE-89(SQLインジェクション)が572件、CWE-787(境界外書き込み)が376件、CWE-476(NULLポインタデリファレンス)が225件、CWE-352(クロスサイト・リクエスト・フォージェリ)が209件でした。最も件数の多かったCWE-79(クロスサイトスクリプティング)は、悪用されると偽のウェブページが表示されたり、情報が漏えいしたりするおそれがあります。

製品開発者は、ソフトウェアの企画・設計段階から、脆弱性の低減に努めることが求められます。IPAではそのための資料やツールとして、開発者が実施すべき脆弱性対処をまとめた資料「脆弱性対処に向けた製品開発者向けガイド(注釈4)」、開発者や運営者がセキュリティを考慮したウェブサイトを作成するための資料「安全なウェブサイトの作り方 (注釈5)」、脆弱性の仕組みを実習形式や演習機能で学ぶことができる脆弱性体験学習ツール「AppGoat(注釈6)」などを公開しています。

  • 図2-1.2024年第3四半期に登録された脆弱性の種類別件数

2-2. 脆弱性に関する深刻度別割合

図2-2はJVN iPediaに登録済みの脆弱性対策情報をCVSSv2の値に基づいて深刻度別に分類し、登録年別にその推移を示したものです。2024年にJVN iPediaに登録した脆弱性対策情報は深刻度別に、レベル3が全体の30.2%、レベル2が60.9%、レベル1が8.8%となっており、情報の漏えいや改ざんされるような危険度が高い脅威であるレベル2以上が91.1%を占めています。なお、2024年にJVN iPediaにおけるCVSSv2の登録件数が大幅に減少した理由は、JVN iPediaの情報収集元であるNVDにおいてCVSSv2の評価が積極的には行われていない(注釈7)ためです。

  • 図2-2.脆弱性の深刻度別件数(CVSSv2)

図2-3はJVN iPediaに登録済みの脆弱性対策情報をCVSSv3の値に基づいて深刻度別に分類し、登録年別にその推移を示したものです。2024年にJVN iPediaに登録した脆弱性対策情報は深刻度別に、「緊急」が全体の15.2%、「重要」が36.3%、「警告」が46.9%、「注意」が1.6%となっています。

  • 図2-3.脆弱性の深刻度別件数(CVSSv3)

既知の脆弱性による脅威を回避するため、製品開発者は常日頃から新たに報告される脆弱性対策情報に注意を払うと共に、脆弱性が解消されている製品へのバージョンアップやアップデートなどを速やかに行ってください。

なお、新たに登録したJVN iPediaの情報を、RSS形式やXML形式(注釈8) で公開しています。

2-3. 脆弱性対策情報を公開した製品の種類別件数

図2-4はJVN iPediaに登録済みの脆弱性対策情報をソフトウェア製品の種類別に件数を集計し、年次でその推移を示したものです。2024年で最も多い種別は「アプリケーション」に関する脆弱性対策情報で、2024年の件数全件の約73.4%(16,842件/全22,924件)を占めています。

  • 図2-4.脆弱性対策情報を硬化した製品の種類別件数の公開年別推移

図2-5は重要インフラなどで利用される、産業用制御システムに関する脆弱性対策情報の件数を集計し、年次でその推移を示したものです。これまでに累計で6,471件を登録しています。

  • 図2-5.JVN iPedia登録件数(産業用制御システムのみ抽出)

2-4. 脆弱性対策情報の製品別登録状況

表2-1は2024年第3四半期(7月~9月)にJVN iPediaへ登録された脆弱性対策情報の中で登録件数が多かった製品上位20件を示したものです。

本四半期においてはLinux Kernelが1位となりました。2位以降はクアルコム製品や、Google、アップル、マイクロソフトなど、幅広いベンダのOSがランクインをしました。

JVN iPediaは、表に記載されている製品以外にも幅広い脆弱性対策情報を登録公開しています。製品の利用者や開発者は、自組織などで使用しているソフトウェアの脆弱性対策情報を迅速に入手し、効率的な対策に役立ててください(注釈9)。

表2-1. 製品別JVN iPediaの脆弱性対策情報登録件数 上位20件 [2024年7月~2024年9月]
順位
カテゴリ
製品名(ベンダ名)
登録件数
1
OS
Linux Kernel (Linux)
715
2
ファームウェア
Qualcomm component (クアルコム)
556
3
OS
macOS (アップル)
265
4
OS
iOS (アップル)
228
5
OS
iPadOS (アップル)
184
6
OS
Microsoft Windows Server 2022 (マイクロソフト)
181
7
OS
Microsoft Windows Server 2019 (マイクロソフト)
168
8
OS
Microsoft Windows Server 2016 (マイクロソフト)
166
9
OS
Microsoft Windows 11 (マイクロソフト)
158
10
OS
Microsoft Windows 10 (マイクロソフト)
156
11
OS
watchOS (アップル)
131
12
OS
Microsoft Windows Server 2012 (マイクロソフト)
130
13
OS
Android (Google)
123
14
OS
tvOS (アップル)
122
15
OS
Apple Mac OS X (アップル)
87
16
OS
Microsoft Windows Server 2008 (マイクロソフト)
84
17
その他
GetLab (GitLab.org)
82
18
ブラウザ
Google Chrome (Google)
79
19
ブラウザ
Safari (アップル)
43
20
ブラウザ
Mozilla Firefox (Mozilla Foundation)
40
 

3. 脆弱性対策情報の活用状況

表3-1は2024年第3四半期(7月~9月)にアクセスが多かったJVN iPediaの脆弱性対策情報の上位20件を示したものです。

本四半期は、WordPress用のプラグインの脆弱性が多くランクインしました。これは特定の組織より機械的なアクセスを受けたことによるものと考えられます。

表3-1. JVN iPediaの脆弱性対策情報へのアクセス 上位20件 [2024年7月~2024年9月]
順位
ID/タイトル
CVSSv2
基本値
CVSSv3
基本値
公開日
アクセス数
1
JVNDB-2024-006282
-
7.8
2024年
8月23日
14,287
2
JVNDB-2022-012258
6.8
8.8
2023年
8月28日
10,396
3
JVNDB-2024-000064
-
5.3
2024年
6月19日
8,497
4
JVNDB-2024-000066
-
4.3
2024年
6月26日
7,733
5
JVNDB-2024-000058
-
4.7
2024年
6月7日
7,452
6
JVNDB-2024-000050
-
5.4
2024年
5月24日
7,082
7
JVNDB-2022-000026
2.6
4.3
2022年
4月15日
6,587
8
JVNDB-2023-000094
5.5
5.4
2023年
9月22日
6,474
9
JVNDB-2022-000023
4.0
6.5
2022年
3月30日
6,321
10
JVNDB-2022-000038
2.6
6.1
2022年
5月24日
5,782
11
JVNDB-2024-000041
-
9.8
2024年
4月18日
5,700
12
JVNDB-2024-000049
-
2.7
2024年
5月17日
5,651
13
JVNDB-2024-000041
4.0
5.4
2022年
6月1日
5,626
14
JVNDB-2024-000038
-
5.4
2024年
4月8日
5,613
15
JVNDB-2024-000033
2.6
4.3
2024年
3月25日
5,596
16
JVNDB-2024-000001
4.0
5.0
2024年
1月12日
5,568
16
JVNDB-2024-000044
-
5.4
2024年
5月8日
5,568
18
JVNDB-2022-000087
5.0
5.3
2022年
11月8日
5,544
19
JVNDB-2023-000070
2.6
6.1
2023年
7月20日
5,501
20
JVNDB-2023-000050
7.5
8.3
2023年
5月15日
5,498
 


表3-2は国内の製品開発者から収集した脆弱性対策情報でアクセスの多かった上位5件を示しています。

表3-2. 国内の製品開発者から収集した脆弱性対策情報へのアクセス 上位5件 [2024年7月~2024年9月]
順位
ID/タイトル
CVSSv2
基本値
CVSSv3
基本値
公開日
アクセス数
1
JVNDB-2024-006367
-
6.7
2024年
8月23日
4,310
2
JVNDB-2024-006646
-
7.8
2024年
8月27日
2,703
3
JVNDB-2024-005167
-
8.6
2024年
8月13日
2,577
4
JVNDB-2024-002961
-
5.6
2024年
3月13日
2,100
5
JVNDB-2024-003181
-
-
2024年
5月10日
2,083
 

注釈

  1. 注釈1
  2. 注釈2
  3. 注釈3
  4. 注釈4
  5. 注釈5
  6. 注釈6
  7. 注釈7
  8. 注釈8
  9. 注釈9

資料のダウンロード

参考情報

お問い合わせ先

IPA セキュリティセンター 土屋/吉本/篠塚

  • E-mail

    isec-jvndbアットマークipa.go.jp