HOME情報セキュリティ情報セキュリティ対策脆弱性対策ソフトウェア等の脆弱性関連情報に関する届出状況[2017年第2四半期(4月~6月)]

本文を印刷する

情報セキュリティ

ソフトウェア等の脆弱性関連情報に関する届出状況[2017年第2四半期(4月~6月)]

掲載日 2017年7月26日
独立行政法人情報処理推進機構
技術本部 セキュリティセンター

  • 以下は、「ソフトウェア等の脆弱性関連情報に関する届出状況」1章の抜粋です。

1. 2017年第2四半期 ソフトウェア等の脆弱性関連情報に関する届出状況

1-1. 脆弱性関連情報の届出状況

 ~脆弱性の届出件数の累計は13,331件~

 表1-1は情報セキュリティ早期警戒パートナーシップ(*1)(以降「本制度」)における2017年第2四半期(以降「本四半期」)の脆弱性関連情報の届出件数、および届出受付開始(2004年7月8日)から本四半期までの累計を示しています。本四半期のソフトウェア製品に関する届出件数は240件、ウェブアプリケーション(以降「ウェブサイト」)に関する届出は29件、合計269件でした。届出受付開始からの累計は13,331件で、内訳はソフトウェア製品に関するもの3,767件、ウェブサイトに関するもの9,564件でウェブサイトに関する届出が全体の約7割を占めています。

 図1-1は過去3年間の届出件数の四半期ごとの推移を示したものです。本四半期は、ウェブサイトに関する届出が前四半期の約半数に減少しました。一方で、製品に関する届出が前四半期の2.5倍に増加しました。表1-2は過去3年間の四半期ごとの届出の累計および1就業日あたりの届出件数の推移です。本四半期までの1就業日あたりの届出件数は4.21件(*2)でした。

表1-1.届出件数
分類 本四半期件数 累計
ソフトウェア製品 240 3,767
ウェブサイト 29 9,564
合計 269 13,331

 

図1-1. 脆弱性関連情報の届出件数の四半期ごとの推移

 

表1-2.届出件数(過去3年間)
  2014 2015 2016 2017
3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 1Q 2Q
累計届出件数
[件]
10,172 10,649 10,896 11,058 11,269 11,504 11,688 12,440 12,673 12,918 13,062 13,331
1就業日あたり
[件/日]
4.07 4.16 4.17 4.13 4.11 4.11 4.09 4.26 4.25 4.25 4.21 4.21

 

1.2. 脆弱性の修正完了状況

 ~ソフトウェア製品およびウェブサイトの修正件数は累計8,595件~

 表1-3は本四半期、および届出受付開始から本四半期までのソフトウェア製品とウェブサイトの修正完了件数を示しています。ソフトウェア製品の場合、修正が完了するとJVNに公表しています(回避策の公表のみでプログラムの修正をしていない場合を含む)。

 本四半期にJVN公表したソフトウェア製品の件数は145件(*3)(累計1,574件)でした。そのうち、3件は製品開発者による自社製品の脆弱性の届出でした。なお、届出を受理してからJVN公表までの日数が45日(*4)以内のものは36件(25%)でした。

 また、修正完了したウェブサイトの件数は38件(累計7,022件)でした。修正を完了した38件のうち、ウェブアプリケーションを修正したものは31件(82%)、当該ページを削除したものは5件(13%)で、運用で回避したものは2件(5%)でした。なお、修正を完了した38件のうち、ウェブサイト運営者へ脆弱性関連情報を通知してから90日(*5)以内に修正が完了したものは11件(29%)でした。本四半期は、90日以内に修正完了した割合が、前四半期(105件中88件(84%))より減少しています。

表1-3.修正完了(JVN公表)
分類本四半期件数累計
ソフトウェア製品 145 1,574
ウェブサイト 38 7,022
合計 183 8,596

1.3. 連絡不能案件の取扱状況

 本制度では、調整機関から連絡が取れない製品開発者を「連絡不能開発者」と呼び、連絡の糸口を得るため、当該製品開発者名等を公表して情報提供を求めています(*6)。製品開発者名を公表後、3ヶ月経過しても製品開発者から応答が得られない場合は、製品情報(対象製品の具体的な名称およびバージョン)を公表します。それでも応答が得られない場合は、情報提供の期限を追記します。情報提供の期限までに製品開発者から応答がない場合は、当該脆弱性情報の公表に向け、「情報セキュリティ早期警戒パートナーシップガイドライン」に定められた条件を満たしているかを公表判定委員会(*7)で審議します。公表が適当と判定された脆弱性情報はJVNに公表されます。

 本四半期は、1件について製品開発者と連絡が取れたため調整を再開しました。連絡不能開発者として新たに製品開発者名を公表したものはありませんでした。また、公表判定委員会での判定を経て、脆弱性情報がJVNに公表したものはありませんでした。

 2017年6月末時点の連絡不能開発者の累計公表件数は251件、そのうち、製品情報を公表しているものは205件となりました。

 

脚注

(*1) 情報セキュリティ早期警戒パートナーシップガイドライン
https://www.ipa.go.jp/security/ciadr/partnership_guide.html
https://www.jpcert.or.jp/vh/index.html別ウィンドウで開く

(*2) 1就業日あたりの届出件数は、「累計届出件数」/「届出受付開始からの就業日数」にて算出

(*3) P.7 表2-3 参照

(*4) JVN公表日の目安は、脆弱性の取扱いを開始した日時から起算して45日後としています。

(*5) 対処の目安は、ウェブサイト運営者が脆弱性の通知を受けてから、3ヶ月以内としています。

(*6) 連絡不能開発者一覧:
https://jvn.jp/reply/index.html

(*7) 連絡不能案件の脆弱性情報を公表するか否かを判定するためにIPAが組織します。
法律、サイバーセキュリティ、当該ソフトウェア製品分野の専門的な知識や経験を有する専門家、かつ、当該案件と利害関係のない者で構成されています。

資料のダウンロード

参考情報

アンケートのお願い

まもるくんからのお願い   よろしければ今後のサービス向上を図るため、「ソフトウェア等の脆弱性関連情報の取扱いに関する届出状況 [2017年第2四半期(4月~6月)]」に関するアンケートにご協力ください。

アンケート画面へ

本件に関するお問い合わせ先

IPA セキュリティセンター 渡辺/板橋
Tel: 03-5978-7527 Fax: 03-5978-7552
E-mail: 電話番号:03-5978-7527までお問い合わせください。

JPCERT/CC 情報流通対策グループ 久保
Tel: 03-3518-4600 Fax: 03-3518-4602
E-mail: 電話番号:03-3518-4600までお問い合わせください。

更新履歴

2017年07月26日 掲載