情報セキュリティ
最終更新日:2021年10月20日
独立行政法人情報処理推進機構
脆弱性対策情報データベース「JVN iPedia」は、ソフトウェア製品に関する脆弱性対策情報を2007年4月25日から日本語で公開しています。システム管理者が迅速に脆弱性対策を行えるよう、1)国内のソフトウェア開発者が公開した脆弱性対策情報、2)脆弱性対策情報ポータルサイトJVN(*1)で公表した脆弱性対策情報、3)米国国立標準技術研究所NIST(*2)の脆弱性データベース「NVD(*3)」が公開した脆弱性対策情報を集約、翻訳しています。
〜脆弱性対策情報の登録件数の累計は133,026件〜
2021年第3四半期(2021年7月1日から9月30日まで)にJVN iPedia日本語版へ登録した脆弱性対策情報は右表の通りとなり、2007年4月25日にJVN iPediaの公開を開始してから本四半期までの脆弱性対策情報の登録件数の累計は133,026件になりました(表1-1、図1-1)。
また、JVN iPedia英語版へ登録した脆弱性対策情報は右表の通り、累計で2,337件になりました。
|
情報の収集元
|
登録件数
|
累計件数
|
|
|---|---|---|---|
|
日本語版
|
国内製品開発者
|
0 件
|
256 件
|
|
JVN
|
264 件
|
10,415 件
|
|
|
NVD
|
2,938 件
|
122,355 件
|
|
|
計
|
3,202 件
|
133,026 件
|
|
|
英語版
|
国内製品開発者
|
0 件
|
251 件
|
|
JVN
|
36 件
|
2,086 件
|
|
|
計
|
36 件
|
2,337 件
|
図2-1は、2021年第3四半期(7月〜9月)にJVN iPediaへ登録した脆弱性対策情報を、共通脆弱性タイプ一覧(CWE)によって分類し、件数を集計したものです。
集計結果は件数が多い順に、CWE-79(クロスサイトスクリプティング)が364件、CWE-787(境界外書き込み)が217件、CWE-269(不適切な権限管理)が161件、CWE-416(解放済みメモリの使用)が92件、CWE-125(境界外読み取り)が91件でした。
最も件数の多かったCWE-79(クロスサイトスクリプティング)は、悪用されると偽のウェブページが表示されたり、情報が漏えいしたりするおそれがあります。
製品開発者は、ソフトウェアの企画・設計段階から、脆弱性の低減に努めることが求められます。IPAではそのための資料やツールとして、開発者が実施すべき脆弱性対処をまとめた資料「脆弱性対処に向けた製品開発者向けガイド(*4)」、開発者や運営者がセキュリティを考慮したウェブサイトを作成するための資料「安全なウェブサイトの作り方 (*5)」や「IPAセキュア・プログラミング講座(*6)」、脆弱性の仕組みを実習形式や演習機能で学ぶことができる脆弱性体験学習ツール「AppGoat(*7)」などを公開しています。
図2-2はJVN iPediaに登録済みの脆弱性対策情報をCVSSv2の値に基づいて深刻度別に分類し、登録年別にその推移を示したものです。
2021年にJVN iPediaに登録した脆弱性対策情報は深刻度別に、レベルIIIが全体の22.1%、レベルIIが62.0%、レベルIが15.9%となっており、情報の漏えいや改ざんされるような危険度が高い脅威であるレベルII以上が84.1%を占めています。
図2-3はJVN iPediaに登録済みの脆弱性対策情報をCVSSv3の値に基づいて深刻度別に分類し、登録年別にその推移を示したものです。
2021年にJVN iPediaに登録した脆弱性対策情報は深刻度別に、「緊急」が全体の13.5%、「重要」が43.3%、「警告」が40.5%、「注意」が2.7%となっています。
既知の脆弱性による脅威を回避するため、製品開発者は常日頃から新たに報告される脆弱性対策情報に注意を払うと共に、脆弱性が解消されている製品へのバージョンアップやアップデートなどを速やかに行ってください。
なお、新たに登録したJVN iPediaの情報を、RSS形式やXML形式(*8) で公開しています。
図2-4はJVN iPediaに登録済みの脆弱性対策情報をソフトウェア製品の種類別に件数を集計し、年次でその推移を示したものです。2021年で最も多い種別は「アプリケーション」に関する脆弱性対策情報で、2021年の件数全件の約70.6%(5,395件/全7,638件)を占めています。
図2-5は重要インフラなどで利用される、産業用制御システムに関する脆弱性対策情報の件数を集計し、年次でその推移を示したものです。これまでに累計で3,043件を登録しています。
表2-1は2021年第3四半期(7月〜9月)にJVN iPediaへ登録された脆弱性対策情報の中で登録件数が多かった製品上位20件を示したものです。
本四半期において最も登録件数が多かった製品はMicrosoft Windows Server 2019で、160件登録されました。その他にもマイクロソフト社のWindows製品が多数登録されており、上位20件中9件と約半数を占めています。
JVN iPediaは、表に記載されている製品以外にも幅広い脆弱性対策情報を登録公開しています。製品の利用者や開発者は、自組織などで使用しているソフトウェアの脆弱性対策情報を迅速に入手し、効率的な対策に役立ててください(*9)。
|
順位
|
カテゴリ
|
製品名(ベンダ名)
|
登録件数
|
|---|---|---|---|
|
1
|
OS
|
Microsoft Windows Server 2019 (マイクロソフト)
|
160
|
|
2
|
OS
|
Microsoft Windows 10 (マイクロソフト)
|
158
|
|
3
|
OS
|
Microsoft Windows Server (マイクロソフト)
|
155
|
|
4
|
OS
|
Microsoft Windows Server 2016 (マイクロソフト)
|
132
|
|
5
|
OS
|
Android (Google)
|
121
|
|
6
|
OS
|
Debian GNU/Linux (Debian)
|
114
|
|
7
|
OS
|
Microsoft Windows Server 2012 (マイクロソフト)
|
113
|
|
8
|
OS
|
Microsoft Windows 8.1 (マイクロソフト)
|
101
|
|
8
|
OS
|
Microsoft Windows RT 8.1 (マイクロソフト)
|
101
|
|
10
|
OS
|
Fedora (Fedora Project)
|
98
|
|
11
|
OS
|
Microsoft Windows Server 2008 (マイクロソフト)
|
93
|
|
12
|
OS
|
Microsoft Windows 7 (マイクロソフト)
|
80
|
|
13
|
ファームウェア
|
RV130 VPN Router ファームウェア (シスコシステムズ)
|
74
|
|
13
|
ファームウェア
|
Cisco RV130W Wireless-N Multifunction VPN Router ファームウェア
(シスコシステムズ) |
74
|
|
15
|
ファームウェア
|
Cisco RV110W Wireless-N VPN Firewall ファームウェア
(シスコシステムズ) |
73
|
|
16
|
ファームウェア
|
RV215W Wireless-N VPN Router ファームウェア (シスコシステムズ)
|
59
|
|
17
|
プラットフォーム
|
Application Extension Platform (シスコシステムズ)
|
58
|
|
18
|
OS
|
Apple Mac OS X (アップル)
|
55
|
|
19
|
OS
|
iOS (アップル)
|
45
|
|
20
|
OS
|
iPadOS (アップル)
|
44
|
表3-1は2021年第3四半期(7月〜9月)にアクセスの多かったJVN iPediaの脆弱性対策情報の上位20件を示したものです。
本四半期は1位〜4位を2020年7月に公開されたWordPressの脆弱性対策情報が占めました。なお、これは特定の組織から機械的と思われる多くのアクセスがあったためです。また、上位20件中15件が脆弱性対策情報ポータルサイトJVNで公開された脆弱性対策情報でした。
評価基準
注1) CVSSv2基本値の深刻度による色分け
注2) CVSSv3基本値の深刻度による色分け
レベルI(注意)
3.5
警告
5.4
2020年7月20日
11,396
レベルI(注意)
3.5
注意
2.4
2020年7月17日
11,137
レベルI(注意)
3.5
レベルI(注意)
6.8
2020年7月20日
10,495
レベルII(警告)
6.0
注意
3.1
2020年7月22日
10,157
レベルI(注意)
3.5
-
2014年8月25日
7,898
レベルII(警告)
5.0
警告
5.3
2021年7月21日
6,604
レベルII(警告)
5.0
重要
7.5
2021年7月1日
6,459
レベルII(警告)
5.8
警告
6.1
2021年7月9日
6,453
レベルII(警告)
4.0
警告
5.0
2021年7月19日
6,116
レベルI(注意)
2.6
警告
4.3
2021年7月8日
6,068
-
レベルII(警告)
7.8
2021年7月30日
5,992
レベルI(注意)
3.5
警告
5.4
2021年7月19日
5,901
レベルII(警告)
5.0
警告
4.0
2021年7月13日
5,893
レベルII(警告)
4.0
警告
5.4
2021年7月14日
5,863
レベルII(警告)
4.3
警告
6.1
2012年6月26日
5,830
レベルII(警告)
4.0
警告
4.3
2020年11月5日
5,685
レベルI(注意)
2.6
警告
4.3
2021年7月8日
5,655
レベルII(警告)
5.8
警告
5.4
2021年6月30日
5,607
レベルII(警告)
4.3
警告
4.3
2021年7月7日
5,485
-
警告
6.3
2021年7月7日
5,463
表3-2は国内の製品開発者から収集した脆弱性対策情報でアクセスの多かった上位5件を示しています。
-
-
2021年4月13日
4,123
-
-
2021年2月8日
4,054
-
-
2020年5月18日
4,052
-
-
2021年4月13日
4,052
-
-
2021年2月16日
4,040