以下は、「ソフトウェア等の脆弱性関連情報に関する活動報告レポート」1章の抜粋です。脆弱性関連情報の届出状況~脆弱性の届出件数の累計が8,671件になりました~「情報セキュリティ早期警戒パートナーシップ(*1)」(以降、本制度)における届出状況について、表1-1は2013年第2四半期の脆弱性関連情報の届出件数および届出受付開始(2004年7月8日)から今四半期までの累計件数を示しています。今期の届出件数はソフトウェア製品に関する届出は47件、ウェブサイト(ウェブアプリケーション)に関する届出は185件、合計232件でした。届出受付開始からの累計件数は、ソフトウェア製品に関するもの1,573件、ウェブサイトに関するもの7,098件、合計8,671件となりました。ウェブサイトに関する届出が全体の82%を占めています。図1-1のグラフは過去3年間の届出件数の四半期別推移を示したものです。今四半期のソフトウェア製品、ウェブサイトに関する届出はともに前四半期よりも減少しています。表1-1は過去3年間の四半期別の累計届出件数および1就業日あたりの届出件数の推移です。1就業日あたりの届出件数は今四半期末で3.94(*2)件となっています。脆弱性の修正完了状況~ソフトウェア製品およびウェブサイトの修正件数が5,600件を超過しました~表1-2は今四半期のソフトウェア製品とウェブサイトの修正完了件数および届出受付開始から今四半期までの累計件数を示しています。ソフトウェア製品の脆弱性の届出のうち、製品開発者が修正を完了し、今四半期にJVNで対策情報を公表したものは37件(*3)(累計759件)でした。2010年第4四半期以降は修正完了件数が30件前後で推移しています。今四半期に対策情報を公表した37件のうち、届出を受理してから公表までに46日(*4)以上経過したものは26件でした。ウェブサイトの脆弱性関連情報の届出のうち、IPAがウェブサイト運営者に通知を行い、今四半期に修正を完了したものは170件(累計4,915件)でした。修正を完了した170件のうち、ウェブアプリケーションを修正したものが139件(82%)、当該ページを削除したもの29件(17%)、運用で回避したもの2件(1%)でした。修正を完了した170件のうち73件(43%)は、運営者へ脆弱関連情報を通知してから修正完了までに91日(*5)以上要した届出です。今四半期は、前四半期(196件中42件(21%))より修正完了までに91日以上要した届出の修正完了した割合が増加しています。(*6)」において段階的に製品開発者名と製品情報を公表することで、製品開発者からの連絡および関係者からの情報提供を求めています。今四半期は新たに「製品開発者名」を公表していません。公表後一定期間(約3ヶ月)が経過したものの連絡が取れず、広く関係者からの情報提供を求めるために「製品開発者名」に加えて「製品情報(対象製品の具体的な名称およびバージョン)」を公表したものは3件(累計108件)でした。今四半期に、製品開発者から応答があったのは2件でした。これまでに製品開発者から応答があった18件のうち、7件が本制度における取扱いを終了しました。System)等におけるアップデートの周知を~2013年の第2四半期中には、ウェブサイトを改ざんされる事件が多発し、IPA(*7)やJPCERT/CC(*8)を初め、複数のセキュリティ機関から注意が呼びかけられました。System)の脆弱性が悪用される事例が示されています。「情報セキュリティ早期警戒パートナーシップ」においても、CMSに関連する届出は多く、JVNでも脆弱性対策情報として数多く公表しています。第2四半期では、ショッピングサイトを構築するためのソフトウェアであるEC-CUBEの脆弱性対策情報について、5月には4件、6月には5件の合計9件を公表しています。おけるディレクトリ・トラバーサルの脆弱性CMSのようなウェブサイトを構築するためのソフトウェアに脆弱性が存在すると、当該ソフトウェアを使用しているウェブサイト自体が脆弱な状態となります。広く使用されているソフトウェアの脆弱性や攻撃手法が攻撃者に知れ渡ると、大規模な攻撃に発展する可能性があります。CMSを利用しているウェブサイト運営者は、CMSの脆弱性対策を行うことが重要です。製品開発者は、脆弱性対策に努めるとともに、利用者に対して対策状況をアナウンスすることも重要です。「情報セキュリティ早期警戒パートナーシップ」では、JVNで周知をすることを目的とした製品開発者自身からの脆弱性届出を受け付けています。製品開発者は、修正版を提供するだけではなく、前述のEC-CUBEのように「情報セキュリティ早期警戒パートナーシップ」を活用し、利用者への周知の実施をIPAおよびJPCERT/CCは希望します。/「届出受付開始からの就業日数」にて算出(*3)表2-3参照(*4)公表日の目安は、脆弱性関連情報の取扱を開始した日時から起算して45日後としています。(*5)対処の目安は、脆弱性関連情報の通知を受けてから、3ヶ月以内としています。