情報セキュリティ
最終更新日:2021年4月21日
独立行政法人情報処理推進機構
脆弱性対策情報データベース「JVN iPedia」は、ソフトウェア製品に関する脆弱性対策情報を2007年4月25日から日本語で公開しています。システム管理者が迅速に脆弱性対策を行えるよう、1)国内のソフトウェア開発者が公開した脆弱性対策情報、2)脆弱性対策情報ポータルサイトJVN(*1)で公表した脆弱性対策情報、3)米国国立標準技術研究所NIST(*2)の脆弱性データベース「NVD(*3)」が公開した脆弱性対策情報を集約、翻訳しています。
~脆弱性対策情報の登録件数の累計は127,089件~
2021年第1四半期(2021年1月1日から3月31日まで)にJVN iPedia日本語版へ登録した脆弱性対策情報は下表の通りとなり、2007年4月25日にJVN iPediaの公開を開始してから本四半期までの脆弱性対策情報の登録件数の累計は、127,089件になりました(表1-1、図1-1)。
また、JVN iPedia英語版へ登録した脆弱性対策情報は下表の通り、累計で2,260件になりました。
|
情報の収集元
|
登録件数
|
累計件数
|
---|---|---|---|
日本語版
|
国内製品開発者
|
4 件
|
253 件
|
JVN
|
260 件
|
9,976 件
|
|
NVD
|
1,437 件
|
116,860 件
|
|
計
|
1,701 件
|
127,089 件
|
|
英語版
|
国内製品開発者
|
4 件
|
248 件
|
JVN
|
39 件
|
2,012 件
|
|
計
|
43 件
|
2,260 件
|
図2-1は、2021年第1四半期(1月~3月)にJVN iPediaへ登録した脆弱性対策情報を、共通脆弱性タイプ一覧(CWE)によって分類し、件数を集計したものです。
集計結果は件数が多い順に、CWE-79(クロスサイトスクリプティング)が170件、CWE-269(不適切な権限管理)が132件、CWE-20(不適切な入力確認)が128件、CWE-787(境界外書き込み)が64件、CWE-200(情報漏えい)が51件でした。
最も件数の多かったCWE-79(クロスサイトスクリプティング)は、悪用されると偽のウェブページが表示されたり、情報が漏えいしたりするおそれがあります。
製品開発者は、ソフトウェアの企画・設計段階から、脆弱性の低減に努めることが求められます。IPAではそのための資料やツールとして、開発者が実施すべき脆弱性対処をまとめた資料「脆弱性対処に向けた製品開発者向けガイド(*4)」、開発者や運営者がセキュリティを考慮したウェブサイトを作成するための資料「安全なウェブサイトの作り方 (*5)」や「IPAセキュア・プログラミング講座(*6)」、脆弱性の仕組みを実習形式や演習機能で学ぶことができる脆弱性体験学習ツール「AppGoat(*7)」などを公開しています。
図2-2はJVN iPediaに登録済みの脆弱性対策情報をCVSSv2の値に基づいて深刻度別に分類し、登録年別にその推移を示したものです。
2021年にJVN iPediaに登録した脆弱性対策情報は深刻度別に、レベルIIIが全体の23.5%、レベルIIが59.5%、レベルIが17.0%となっており、情報の漏えいや改ざんされるような危険度が高い脅威であるレベルII以上が83.0%を占めています。
図2-3はJVN iPediaに登録済みの脆弱性対策情報をCVSSv3の値に基づいて深刻度別に分類し、登録年別にその推移を示したものです。
2021年にJVN iPediaに登録した脆弱性対策情報は深刻度別に、「緊急」が全体の12.0%、「重要」が45.2%、「警告」が40.8%、「注意」が2.1%となっています。
既知の脆弱性による脅威を回避するため、製品開発者は常日頃から新たに報告される脆弱性対策情報に注意を払うと共に、脆弱性が解消されている製品へのバージョンアップやアップデートなどを速やかに行ってください。
なお、新たに登録したJVN iPediaの情報を、RSS形式やXML形式(*8) で公開しています。
図2-4はJVN iPediaに登録済みの脆弱性対策情報をソフトウェア製品の種類別に件数を集計し、年次でその推移を示したものです。2021年で最も多い種別は「アプリケーション」に関する脆弱性対策情報で、2021年の件数全件の約57.1%(972件/全1,701件)を占めています。
図2-5は重要インフラなどで利用される、産業用制御システムに関する脆弱性対策情報の件数を集計し、年次でその推移を示したものです。これまでに累計で2,904件を登録しています。
表2-1は2021年第1四半期(1月~3月)にJVN iPediaへ登録された脆弱性対策情報の中で登録件数が多かった製品の上位20件を示したものです。
本四半期において最も登録件数が多かった製品はクアルコム製品で、551件登録されました。これは2019年から2020年にかけて公表された複数のクアルコム製品に関する脆弱性情報を登録したためです。また、2位から16位にはOS製品が並んでおり、特にマイクロソフト社のWindows製品が多くを占めています。
JVN iPediaは、表に記載されている製品以外にも幅広い脆弱性対策情報を登録公開しています。製品の利用者や開発者は、自組織などで使用しているソフトウェアの脆弱性対策情報を迅速に入手し、効率的な対策に役立ててください(*9)。
順位
|
カテゴリ
|
製品名(ベンダ名)
|
登録件数
|
---|---|---|---|
1
|
ファームウェア
|
Qualcomm component (クアルコム)
|
551
|
2
|
OS
|
Android (Google)
|
159
|
3
|
OS
|
Microsoft Windows Server (マイクロソフト)
|
153
|
4
|
OS
|
Microsoft Windows 10 (マイクロソフト)
|
152
|
5
|
OS
|
Microsoft Windows Server 2019 (マイクロソフト)
|
138
|
6
|
OS
|
Microsoft Windows Server 2016 (マイクロソフト)
|
123
|
7
|
OS
|
Apple Mac OS X (アップル)
|
120
|
8
|
OS
|
Microsoft Windows Server 2012 (マイクロソフト)
|
101
|
8
|
OS
|
iOS (アップル)
|
101
|
10
|
OS
|
Microsoft Windows 8.1 (マイクロソフト)
|
93
|
11
|
OS
|
Microsoft Windows RT 8.1 (マイクロソフト)
|
88
|
12
|
OS
|
Microsoft Windows Server 2008 (マイクロソフト)
|
78
|
13
|
OS
|
watchOS (アップル)
|
75
|
14
|
OS
|
Microsoft Windows 7 (マイクロソフト)
|
70
|
14
|
OS
|
tvOS (アップル)
|
70
|
16
|
OS
|
iPadOS (アップル)
|
59
|
17
|
その他
|
SAP 3D Visual Enterprise Viewer (SAP)
|
38
|
18
|
OS
|
Debian GNU/Linux (Debian)
|
36
|
19
|
メディアプレーヤー
|
iTunes (アップル)
|
34
|
20
|
クラウドサービス
|
iCloud (アップル)
|
32
|
表3-1は2021年第1四半期(1月~3月)にアクセスの多かったJVN iPediaの脆弱性対策情報の上位20件を示したものです。
本四半期は脆弱性対策情報ポータルサイトJVNで公開した脆弱性対策情報が上位20件中15件を占めました。
評価基準
注1) CVSSv2基本値の深刻度による色分け
注2) CVSSv3基本値の深刻度による色分け
レベルII(警告)
5.0
警告
5.3
2021/1/4
8,557
レベルII(警告)
6.8
重要
7.8
2021/1/12
8,516
レベルII(警告)
5.8
緊急
9.6
2021/1/4
8,202
レベルIII(危険)
9.0
緊急
9.1
2021/2/16
7,686
レベルI(注意)
3.5
-
2014/8/25
7,388
レベルII(警告)
4.3
重要
7.5
2021/1/22
7,286
レベルIII(危険)
7.5
緊急
9.8
2021/1/14
7,131
レベルII(警告)
5.8
警告
6.3
2021/2/19
6,133
レベルII(警告)
4.3
警告
6.1
2021/1/19
5,874
レベルII(警告)
5.8
重要
8.8
2021/1/26
5,796
レベルIII(危険)
7.1
重要
7.5
2021/1/27
5,533
レベルII(警告)
4.0
警告
4.3
2021/2/15
5,508
レベルII(警告)
5.2
警告
6.8
2021/1/26
5,443
レベルII(警告)
4.0
警告
4.8
2020/12/18
5,368
レベルI(注意)
3.5
警告
5.4
2021/2/10
5,341
-
-
2020/12/21
5,340
-
-
2021/2/8
5,149
-
-
2021/2/16
5,056
-
-
2020/12/15
4,922
レベルII(警告)
6.8
重要
8.1
2020/12/11
4,919
表3-2は国内の製品開発者から収集した脆弱性対策情報でアクセスの多かった上位5件を示しています。
-
-
2020/12/21
5,340
-
-
2021/2/8
5,149
-
-
2021/2/16
5,056
-
-
2020/12/15
4,922
-
-
2021/2/8
4,674