以下は、「ソフトウェア等の脆弱性関連情報に関する活動報告レポート」1章の抜粋です。脆弱性関連情報の届出状況~脆弱性の届出件数の累計が9,333件になりました~「情報セキュリティ早期警戒パートナーシップ(*1)」(以降、本制度)における届出状況について、表1-1は2013年第4四半期の脆弱性関連情報の届出件数および届出受付開始(2004年7月8日)から今四半期までの累計件数を示しています。今期のソフトウェア製品に関する届出件数は88件、ウェブサイト(ウェブアプリケーション)に関する届出は219件、合計307件でした。届出受付開始からの累計件数は9,333件で、内訳はソフトウェア製品に関するもの1,749件、ウェブサイトに関するもの7,584件でウェブサイトに関する届出が全体の81%を占めています。図1-1(*2)のグラフは過去3年間の届出件数の四半期別推移を示したものです。今四半期のソフトウェア製品、ウェブサイトに関する届出はともに前四半期よりも減少しています。表1-2は過去3年間の四半期別の累計届出件数および1就業日あたりの届出件数の推移です。今四半期の1就業日あたりの届出件数は4.03(*3)件でした。4.03また、図1-2は、届出受付開始から2013年12月末までの届出件数の年別推移です。過去、最も届出が多かったのは、2008年(2,625件)です。2013年はソフトウェア製品が282件、ウェブサイトが883件の合計1,165件でした。ソフトウェア製品の届出件数に関しては、過去最多だった2006年の285件に匹敵する件数です。脆弱性の修正完了状況~ソフトウェア製品およびウェブサイトの修正件数が6,100件を超えました~表1-3は今四半期と届出受付開始から今四半期までのソフトウェア製品とウェブサイトの修正完了件数を示しています。2011年以降30件前後で推移しており、今四半期は34件でした。図2-12)そのうち、15件が製品開発者自身から届けられた自社製品の脆弱性の届出でした。届出を受理してから公表までに46日(*5)以上経過したものは19件(56%)でした。ウェブサイトの脆弱性関連情報の届出のうち、IPAがウェブサイト運営者に通知を行い、今四半期に修正を完了したものは189件(累計5,308件)でした。修正を完了した189件のうち、ウェブアプリケーションを修正したものが175件(93%)、当該ページを削除したもの14件(7%)でした。修正を完了した189件のうち32件(17%)は、運営者へ脆弱関連情報を通知してから修正完了までに91日(*6)以上を要した届出です。今四半期は、修正完了までに91日以上を要した届出の割合が、前四半期(204件中48件(24%))より減少しています。件また、図1-3は、届出開始から2013年12月末までの修正完了件数の年別推移を示しています。過去、1年間で最も修正を完了した件数が多かったのは2009年(1,401件)でした。2013年の修正完了件数は、ソフトウェア製品が127件、ウェブサイトが759件の合計886件でした。2013年はソフトウェア製品の修正完了が、届出開始から最も多く行われた年となりました。(*7)」において段階的に製品開発者名と製品情報を公表し、製品開発者からの連絡および関係者からの情報提供を求めています。今四半期は新たに「製品開発者名」16件と、「製品情報(対象製品の具体的な名称およびバージョン)」を4件公表しました。公表件数は、126件となりました。今四半期は、製品開発者からの応答はありませんでした。これまでに応答があった18件のうち、8件が本制度における取扱いを終了しました。OSが提供するアクセス制限機能を理解し、セキュアなコーディングを~2013年の1年間で、脆弱性として受理(*8)したソフトウェア製品の届出は253件ありました。そのうち、117件はAndroid用のアプリケーション(以降、Androidアプリ)で、ソフトウェア製品における届出の約半数を占めています。届出のあった2011年からの経年で比較すると、昨年までは全体の2割に満たなかったAndroidアプリの脆弱性届出が2013年は急激に増えていることが見て取れます。届出のあったAndroidアプリの脆弱性の内容は、表1-4の通りです。Androidアプリの届出の累計は169件で「Android特有の脆弱性(*9)」が、全体の約3割を占めています。アプリの開発者は、従来のソフトウェア開発で作りこみ易い脆弱性に加えて、Android特有の脆弱性についても注意が必要です。-また、IPAへの届出では、Androidアプリの脆弱性の届出が顕著に増加していますが、iOSなどのスマートフォン上で動作する他のアプリにおいても類似の脆弱性が作り込まれる可能性があります。(*11)を参考に、脆弱性が作り込みにくいコーディングを心がけてください。脚注(*1)情報セキュリティ早期警戒パートナーシップガイドラインhttp://www.ipa.go.jp/security/ciadr/partnership_guide.htmlhttps://www.jpcert.or.jp/vh/index.html(*2)ソフトウェア等の脆弱性関連情報に関する活動報告レポート[2013年第3四半期(7月~9月)]と比較し、図1-1のソフトウェア製品の届出件数について、2011年第4四半期は既存の届出と同様の内容であることが判明したため1件減少、2013年第3四半期は1つの届出に複数の脆弱性関連情報が記載されていたため42件増加しています。/「届出受付開始からの就業日数」にて算出(*4)表2-3参照(*5)公表日の目安は、脆弱性関連情報の取扱を開始した日時から起算して45日後としています。(*6)対処の目安は、脆弱性関連情報の通知を受けてから、3ヶ月以内としています。:http://jvn.jp/reply/index.html(*8)脆弱性届出件数から、脆弱性として認められ、IPAで受理した件数を表す。届出の一部には、脆弱性ではないと判断し不受理とした届出が含まれている。OSが提供するアクセス制限等の機能の理解不足に起因する脆弱性。5010005007126)。