アプリの開発・実行環境の脆弱性に注意--四半期レポート（IPA）

IPAおよびJPCERT/CCは、2015年第3四半期における「ソフトウェア等の脆弱性関連情報に関する届出受付状況」を発表した。

調査・レポート・白書・ガイドライン調査・ホワイトペーパー

2015.10.28 Wed 8:00

独立行政法人情報処理推進機構（IPA）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は10月27日、2015年第3四半期における「ソフトウェア等の脆弱性関連情報に関する届出受付状況」を発表した。これによると、同四半期のIPAへの脆弱性関連情報の届出件数は、ソフトウェア製品に関するもの122件、Webサイト（Webアプリケーション）に関するもの91件の合計213件であった。届出受付開始（2004年7月8日）からの累計は、ソフトウェア製品に関するもの2,242件、Webサイトに関するもの9,030件の合計11,272件となっており、Webサイトに関する届出が全体の約8割を占めた。

ソフトウェア製品の脆弱性の届出のうち、製品開発者が修正を完了し、今四半期にJVNで対策情報を公表したものは53件（累計1,095件）で、このうち1件が製品開発者自身から届けられた自社製品の脆弱性の届出であった。今四半期に対策情報を公表した53件のうち、届出を受理してから公表までに45日以内だったものは12件（23％）であった。Webサイトの脆弱性関連情報の届出のうち、IPAがWebサイト運営者に通知を行い、今四半期に修正を完了したものは129件（累計6,481件）であった。修正を完了した129件のうち、Webアプリケーションを修正したものが75件（58％）、当該ページを削除したものが54件（42％）であった。

脆弱性の傾向としては、同四半期に脆弱性対策情報をJVNにて公開した53件のうち6件が、アプリケーションを効率的に開発するため、汎用的な機能が予め備えられている「アプリケーション開発・実行環境」に存在する脆弱性であった。こうした「スクリプトエンジン」や「アプリケーションフレームワーク」などの開発・実行環境を利用することで、アプリケーション開発を効率化し、開発コストを下げることができる。しかし、その結果アプリケーションに脆弱性が内包されてしまう。開発・実行環境に脆弱性が発見されたときには、早急に対策を行う必要があるとしている。

《吉澤亨史（ Kouji Yoshizawa ）》