HOME情報セキュリティ脆弱性対策情報脆弱性対策情報データベースJVN iPediaの登録状況 [2022年第1四半期(1月~3月)]

本文を印刷する

情報セキュリティ

脆弱性対策情報データベースJVN iPediaの登録状況 [2022年第1四半期(1月~3月)]

独立行政法人情報処理推進機構
最終更新日:2022年04月20日

1. 2021年第3四半期 脆弱性対策情報データベース JVN iPediaの登録状況

 脆弱性対策情報データベース「JVN iPedia( https://jvndb.jvn.jp/ )」は、ソフトウェア製品に関する脆弱性対策情報を2007年4月25日から日本語で公開しています。システム管理者が迅速に脆弱性対策を行えるよう、1)国内のソフトウェア開発者が公開した脆弱性対策情報、2)脆弱性対策情報ポータルサイトJVN(*1)で公表した脆弱性対策情報、3)米国国立標準技術研究所NIST(*2)の脆弱性データベース「NVD(*3)」が公開した脆弱性対策情報を集約、翻訳しています。

1-1. 脆弱性対策情報の登録状況

~脆弱性対策情報の登録件数の累計は141,482件~

 2022 年第 1 四半期(2022 年 1 月 1 日から 3 月31 日まで)に JVN iPedia 日本語版へ登録した脆弱性対策情報は右表の通りとなり、2007 年 4 月 25 日に JVN iPedia の公開を開始してから本四半期までの、脆弱性対策情報の登録件数の累計は141,482件になりました(表1-1、図1-1)。
 また、JVN iPedia英語版へ登録した脆弱性対策情報は右表の通り、累計で2,414件になりました。

表1-1.2022年第1四半期の登録件数
  情報の収集元 登録件数 累計件数
日本語版 国内製品開発者 3 264
JVN 289 11,135
NVD 3,488 130,083
3,780 141,482
英語版 国内製品開発者 3 259
JVN 36 2,155
39 2,414

図1-1. JVN iPediaの登録件数の四半期別推移


2. JVN iPediaの登録データ分類

2-1. 脆弱性の種類別件数

 図 2-1 は、2022 年第 1 四半期(1 月~3 月)に JVN iPedia へ登録した脆弱性対策情報を、共通脆弱性タイプ一覧(CWE)によって分類し、件数を集計したものです。

 集計結果は件数が多い順に、CWE-79(クロスサイトスクリプティング)が 443 件、CWE-787(境界外書き込み)が 271 件、CWE-269(不適切な権限管理)が 161 件、CWE-20(不適切な入力確認)が 130 件、CWE-416(解放済みメモリの使用)が 118 件でした。最も件数の多かった CWE-79(クロスサイトスクリプティング)は、悪用されると偽のウェブページが表示されたり、情報が漏えいしたりするおそれがあります。

 製品開発者は、ソフトウェアの企画・設計段階から、脆弱性の低減に努めることが求められます。IPAではそのための資料やツールとして、開発者が実施すべき脆弱性対処をまとめた資料「脆弱性対処に向けた製品開発者向けガイド(*4)」、開発者や運営者がセキュリティを考慮したウェブサイトを作成するための資料「安全なウェブサイトの作り方 (*5)」や「IPAセキュア・プログラミング講座(*6)」、脆弱性の仕組みを実習形式や演習機能で学ぶことができる脆弱性体験学習ツール「AppGoat(*7)」などを公開しています。

2-2. 脆弱性に関する深刻度別割合

 図2-2はJVN iPediaに登録済みの脆弱性対策情報をCVSSv2の値に基づいて深刻度別に分類し、登録年別にその推移を示したものです。

 2022 年に JVN iPedia に登録した脆弱性対策情報は深刻度別に、レベルIIIが全体の 19.1%、レベルIIが 63.8%、レベルIが 17.1%となっており、情報の漏えいや改ざんされるような危険度が高い脅威であるレベル2以上が 82.9%を占めています。

 図2-3はJVN iPediaに登録済みの脆弱性対策情報をCVSSv3の値に基づいて深刻度別に分類し、登録年別にその推移を示したものです。

 2022 年に JVN iPedia に登録した脆弱性対策情報は深刻度別に、「緊急」が全体の 11.5%、「重要」が 42.3%、「警告」が 43.1%、「注意」が 3.2%となっています。

 既知の脆弱性による脅威を回避するため、製品開発者は常日頃から新たに報告される脆弱性対策情報に注意を払うと共に、脆弱性が解消されている製品へのバージョンアップやアップデートなどを速やかに行ってください。

 なお、新たに登録したJVN iPediaの情報を、RSS形式やXML形式(*8) で公開しています。

2-3. 脆弱性対策情報を公開した製品の種類別件数

 図2-4はJVN iPediaに登録済みの脆弱性対策情報をソフトウェア製品の種類別に件数を集計し、年次でその推移を示したものです。2022 年で最も多い種別は「アプリケーション」に関する脆弱性対策情報で、2022 年の件数全件の約 76.6%(2,897 件/全 3,780 件)を占めています。

 図2-5は重要インフラなどで利用される、産業用制御システムに関する脆弱性対策情報の件数を集計し、年次でその推移を示したものです。これまでに累計で3,421件を登録しています。

2-4. 脆弱性対策情報の製品別登録状況

 表2-1は2022年第1四半期(1月~3月)にJVN iPediaへ登録された脆弱性対策情報の中で登録件数が多かった製品上位20件を示したものです。

 本四半期において最も登録件数が多かった製品は前四半期に引き続きクアルコム製品で、530 件登録されました。これは 2021 年に公表された複数のクアルコム製品に関する脆弱性情報を多数登録したためです。また、Fedora やマイクロソフト社の Windows 製品などの OS 製品が上位 20 件中 14件を占めています。

 JVN iPediaは、表に記載されている製品以外にも幅広い脆弱性対策情報を登録公開しています。製品の利用者や開発者は、自組織などで使用しているソフトウェアの脆弱性対策情報を迅速に入手し、効率的な対策に役立ててください(*9)

表2-1. 製品別JVN iPediaの脆弱性対策情報登録件数 上位20件 [2022年1月~2022年3月]
順位カテゴリ製品名(ベンダ名)登録件数
1 ファームウェア Qualcomm component (クアルコム) 530
2 OS Fedora (Fedora Project) 192
3 OS Debian GNU/Linux (Debian) 156
4 OS Microsoft Windows 10 (マイクロソフト) 136
5 OS Microsoft Windows Server 2019 (マイクロソフト) 130
5 OS Microsoft Windows Server (マイクロソフト) 130
7 OS Microsoft Windows Server 2022 (マイクロソフト) 127
8 OS Android (Google) 120
9 OS Microsoft Windows 11 (マイクロソフト) 112
10 その他 Google TensorFlow (Google) 109
11 OS Microsoft Windows Server 2016 (マイクロソフト) 106
12 その他 OnCommand Insight (NetApp) 99
13 OS Microsoft Windows Server 2012 (マイクロソフト) 90
14 OS Microsoft Windows 8.1 (マイクロソフト) 88
15 OS Microsoft Windows RT 8.1 (マイクロソフト) 83
16 ミドルウェア MySQL (オラクル) 76
17 その他 OnCommand Workflow Automation (NetApp) 73
18 OS Microsoft Windows 7 (マイクロソフト) 62
19 OS Microsoft Windows Server 2008 (マイクロソフト) 61
20 ブラウザ Google Chrome (Google) 57

3. 脆弱性対策情報の活用状況

 表3-1は2022年第1四半期(1月~3月)にアクセスの多かったJVN iPediaの脆弱性対策情報の上位20件を示したものです。

 年に入ってもアクセス数が多く、前四半期に引き続き 2 位となりました。なお、1 位の Samba および 3 位~7 位の WordPress の脆弱性対策情報は、特定の組織からの機械的なアクセスが多くあったことで上位にランクインしています。

表3-1.JVN iPediaの脆弱性対策情報へのアクセス 上位20件 [2022年1月~2022年3月]
順位IDタイトルCVSSv2
基本値
CVSSv3
基本値
公開日アクセス数
1 JVNDB-2021-006687 Samba における境界外読み取りに関する脆弱性 4.9 6.8 2022/1/17 23,825
2 JVNDB-2021-005429 Apache Log4j における任意のコードが実行可能な脆弱性 9.3 10.0 2021/12/14 15,366
3 JVNDB-2020-006788 WordPress におけるクロスサイトスクリプティングの脆弱性 3.5 2.4 2020/7/17 10,057
4 JVNDB-2020-006830 WordPress におけるクロスサイトスクリプティングの脆弱性 3.5 5.4 2020/7/20 9,237
5 JVNDB-2020-006831 WordPress におけるクロスサイトスクリプティングの脆弱性 3.5 6.8 2020/7/20 8,372
6 JVNDB-2020-006832 WordPress におけるオープンリダイレクトの脆弱性 4.9 5.7 2020/7/20 7,916
7 JVNDB-2020-006893 WordPress における代替パスまたはチャネルを使用した認証回避に関する脆弱性 6.0 3.1 2020/7/22 7,473
8 JVNDB-2021-008164 EDK II における境界外書き込みに関する脆弱性 4.6 6.7 2022/3/4 7,068
9 JVNDB-2021-000022 サイボウズ Office に複数の脆弱性 4.0 4.3 2021/3/15 6,497
10 JVNDB-2021-006117 IDEC 製 PLC に複数の脆弱性 - 7.6 2021/12/27 6,410
11 JVNDB-2021-000109 WordPress 用プラグイン Advanced Custom Fields における複数の認証欠如の脆弱性 4.0 4.3 2021/12/2 5,903
12 JVNDB-2022-000004 ラベルプリンター「テプラ」PRO SR5900P /SR-R7900P における認証情報の不十分な保護の脆弱性 3.3 4.3 2022/1/13 5,770
13 JVNDB-2021-006146 コニカミノルタ製複合機および印刷システムにおける複数の脆弱性 - 6.4 2021/12/28 5,756
14 JVNDB-2022-000003 Android アプリ「ジモティー」に外部サービスの APIキーがハードコードされている問題 2.1 4.0 2022/1/12 5,623
15 JVNDB-2022-000005 パスワードマネージャー「ミルパス」PW10 / PW20 における機微な情報を暗号化していない脆弱性 4.9 4.6 2022/1/13 5,538
16 JVNDB-2022-000002 WordPress 用プラグイン Quiz And Survey Master における複数の脆弱性 4.0 5.4 2022/1/12 5,524
17 JVNDB-2016-008013 複数の ESET 製品 (macOS 版) におけるサーバ証明書の検証不備の脆弱性 4.0 4.8 2017/4/10 5,292
18 JVNDB-2022-000011 HPE Agentless Management が登録する一部のWindows サービスにおいて実行ファイルのパスが引用符で囲まれていない脆弱性 6.8 8.2 2022/2/9 5,132
19 JVNDB-2022-000006 php_mailform における複数のクロスサイトスクリプティングの脆弱性 4.3 6.1 2022/1/20 5,100
20 JVNDB-2021-004912 エレコム製ルータにおける複数の脆弱性 - 8.8 2021/12/2 5,072

 表3-2は国内の製品開発者から収集した脆弱性対策情報でアクセスの多かった上位5件を示しています。

表3-2.国内の製品開発者から収集した脆弱性対策情報へのアクセス 上位5件[2022年1月~2022年3月]
順位IDタイトルCVSSv2
基本値
CVSSv3
基本値
公開日アクセス数
1 JVNDB-2022-001299 JP1/IT Desktop Management 2 におけるクロスサイトスクリプティングの脆弱性 - - 2022/2/8 4,320
2 JVNDB-2021-004432 JP1/Automatic Operation における複数の脆弱性 - - 2021/11/22 4,077
3 JVNDB-2021-003840 Hitachi Infrastructure Analytics Advisor および Hitachi Ops Center Analyzer におけるクロスサイトスクリプティングの脆弱性 - - 2021/11/8 3,922
4 JVNDB-2021-003660 Hitachi Device Manager における認証バイパスの脆弱性 - - 2021/11/1 3,917
5 JVNDB-2021-002810 Hitachi Tuning Manager、Hitachi Infrastructure Analytics Advisor および Hitachi Ops Center Analyzer における情報露出の脆弱性 - - 2021/10/5 3,871

注1) CVSSv2基本値の深刻度による色分け

CVSS基本値 = 0.0~3.9
深刻度=レベルI(注意)
CVSS基本値 = 4.0~6.9
深刻度=レベルII(警告)
CVSS基本値 = 7.0~10.0
深刻度=レベルIII(危険)

注2) CVSSv3基本値の深刻度による色分け

CVSS基本値 = 0.1~3.9
深刻度=注意
CVSS基本値 = 4.0~6.9
深刻度=警告
CVSS基本値 = 7.0~8.9
深刻度=重要
CVSS基本値 = 9.0~10.0
深刻度=緊急

注3) 公開日の年による色分け

2020年以前の公開 2021年の公開 2022年の公開

脚注

(*1) Japan Vulnerability Notes:脆弱性対策情報ポータルサイト。製品開発者の脆弱性への対応状況を公開し、システムのセキュリティ対策を支援しています。IPA、JPCERT/CCが共同で運営しています。
https://jvn.jp/別ウィンドウで開く

(*2) National Institute of Standards and Technology:米国国立標準技術研究所。米国の科学技術分野における計測と標準に関する研究を行う機関。
https://www.nist.gov/別ウィンドウで開く

(*3) National Vulnerability Database:NISTが運営する脆弱性データベース。
https://nvd.nist.gov別ウィンドウで開く

(*4) IPA:「脆弱性対処に向けた製品開発者向けガイド」
https://www.ipa.go.jp/security/vuln/report/notice/guideforvendor.html

(*5) IPA:「安全なウェブサイトの作り方」
https://www.ipa.go.jp/security/vuln/websecurity.html

(*6) IPA:「IPA セキュア・プログラミング講座」
https://www.ipa.go.jp/security/awareness/vendor/programming/

(*7) IPA:「脆弱性体験学習ツール AppGoat」
https://www.ipa.go.jp/security/vuln/appgoat/

(*8) IPA:「JVN iPedia データフィード」
https://jvndb.jvn.jp/ja/feed/

(*9) IPA:「脆弱性対策の効果的な進め方(実践編)」
https://www.ipa.go.jp/security/technicalwatch/20150331.html

資料のダウンロード

参考情報

アンケートのお願い

まもるくんからのお願い  よろしければ今後のサービス向上を図るため、「脆弱性対策情報データベースJVN iPediaの登録状況 [2022年第1四半期(1~3月)]」に関するアンケートにご協力ください。

アンケート画面へ

本件に関するお問い合わせ先

IPA セキュリティセンター 大友/亀山
E-mail: