期限切れであることの説明はない。回避策の説明はなく、今回の報道を受けてのお知らせもない。(お知らせページ)パッチバージョン固定でJREを使用させ、未対応かつ回避策を告知していないところ熊本県は、JRE同梱のインストーラを配布中。6日付の「重要なお知らせ」で、「最新のJREに対応した電子申請のソフトウェアを、今月中を目処に準備を進めております」としているが、回避策を案内していない。(平成19年7月6日)「よろず申請本舗」ではサン・マイクロシステムズ社のソフトウェアであるJRE1.4.2_10を利用しています。既報の通りこのバージョンに脆弱性があることが確認されており、悪意あるWebサイトを閲覧すると、脆弱性を悪用し、外部からパソコン内のファイルを読み書きができるなどの可能性がありますので、不審なサイト等には充分に注意して下さい。「よろず申請本舗」では、最新のJREに対応した電子申請のソフトウェアを、今月中を目処に準備を進めております。準備が整い次第、本サイトでご案内いたしますので利用者の皆様にはご理解いただきますようお願い申し上げます。Environment(JRE)のバージョン1.4.2_10についてセキュリティ上の脆弱性があることが判明しました。JREの提供につきましては、準備が整い次第本サイトでご案内いたしますので、それまで提供元が不明であるなど不審と思われるアプレットは絶対に実行しないように注意してください。あり、2005年2月19日の日記「官公庁の担当者は署名なしアプレットの存在を知らないのか」で書いたことと同じ勘違いをしていて、事の重大性を理解していないと思われる。山口県は、JRE同梱のインストーラを配布中。13日付の告知で次のように案内しているが、これは誤り。Startに関するものだけではない。アプリケーションが起動しないように処理を行ってください。期限切れのバージョンであることの説明はない。http://www.pref.okayama.jp/e-entry/guidance/download/j2re-1_4_2_10-windows-i586-p.exeトップページには「重要なお知らせ」として6日付で「公的個人認証サービスに係る重要なお知らせ」という案内を出しているが、「詳細は厚生労働省のホームページのとおり」として他人事。JRE1.4.2_10を利用しているところですが、同様のソフトウェアを利用する厚生労働省からJREの脆弱性について発表がありました。詳細は厚生労働省のホームページのとおりですが、被害回避のため、公的個人認証サービスを用いた電子申請を行わない場合は、JREを削除していただきますようお願いいたします。JREの削除情報は厚生労働省のホームページを参照してください。今後は、サン・マイクロシステムズ社が公表するJREの脆弱性を解消する情報が入り次第、情報提供させていただきますので、ご理解ください。その情報は一昨年に公表されている。期限切れのバージョンであることの説明はない。Environment」のぜい弱性について」の告知があり、無効化するか削除する手順を紹介している。千葉県は、JRE同梱のインストーラを配布中。Plug-inをを無効にする設定を紹介。古く、脆弱性が公表されたのは2005年3月。http://www.pref.saga.lg.jp/portal/public/HP/j2re-1_4_1_06-windows-i586-i.exe同じページの下の方で、「JRE使用の注意事項について」として、次のように説明している。記述があることから、2005年に書かれたものと思われる。システムで動作確認しているJREのバージョンはJRE1.4.1_06です。佐賀県電子申請システムでは、JREを上記の脆弱性対応バージョンにした場合、申請データの画面が一部、表示されないことが確認されています。不明で不審と思われるアプレットは、絶対に実行しないでください。佐賀県電子申請システムを利用された後、当該JREを非稼動状態にしてください。「絶対に実行しないでください」というのは、2005年2月19日の日記「官公庁の担当者は署名なしアプレットの存在を知らないのか」で書いたことと同じ勘違いをしていると思われる。JRE1.4.1_07、JRE1.4.2_03、JRE1.4.2_10」であるとして、Javaの無効化を案内している。システムでは、JREを最新バージョンにした場合、申請データの送信ボタンでエラーが表示されるなど、一部機能が正常に動作しないことが確認されています。最新バージョンにおける動作確認につきましては、鋭意実施いたしますが、それまでの間は下記の対応を実施いただくようお願いいたします。提供元が不明であるなど不審と思われるアプレットは、絶対に実行しないでください。新潟県申請・届出システムを利用された後、当該JREを非稼動状態にするようにしてください。「絶対に実行しないでください」は、2005年2月19日の日記「官公庁の担当者は署名なしアプレットの存在を知らないのか」で書いたことと同じ勘違いをしているもよう。Version1.4.2_06)をインストールする必要があります。※プログラムのインストールをさせる際に、JRE(Java)の最新バージョンでインストールするかを確認する場合があります。(利用者側の環境によって異なります。)その際には、必ず「いいえ」とし最新のバージョンでインストールしないようにしてください。アンインストールしてください」としている。古く、脆弱性が公表されたのは2005年3月。2007年5月10日付のお知らせで、「当面の間は、下記の対応を行っていただきますようお願いします」として、Javaの無効化を案内している。宮城県は、専用ソフトの配布ページにて、JRE同梱のインストーラを配布中。トップページの「インフォメーション」欄に以下の記述があるが、発表日は不明。Microsystems社のソフトウェア(JRE1.4.2_13)にセキュリティ上の脆弱性があることが同社から公表されました。サン・マイクロシステムズ社の公表内容はこちら(英文)宮城県では,この問題に対応した新しいインストールプログラムを提供準備中です。電子署名の必要な申請手続を御利用される方は,大変お手数ですが宮城県電子申請システムを利用される時以外はJREをアンインストールされますようお願い致します。使用させているところ、2006年12月21日と2007年5月31日付で、脆弱性の存在を告知し、「申請が終わられましたら、JREをアンインストールしていただきますようお願いいたします」としている。Environment(以下「JRE」という。)1.4.2_10をインストールしていただき、利用しているところですが、JRE1.4.2_14以前の複数のバージョンにセキュリティホールがあることを確認しました。システムのサイトからJRE1.4.2_10のダウンロードを一時停止し、セキュリティホールが修正されたバージョンのJREを早期に提供できるよう準備をしております。対応し、JREを自サイト上で再配布している。http://eap.pref.nagasaki.jp/download/j2re-1_4_2_15-windows-i586-p.exe群馬県は、11日付のお知らせで、「JREの最新版JRE1.4.2_15へのバージョンアップを行ってください」と対応。JREを自サイト上で再配布している。https://www.e-gunma.lg.jp/portal/upload/1/j2re-1_4_2_15-windows-i586-p.exe福岡県は、JRE同梱のインストーラを配布中。14日付の「重要なお知らせ」で、「現在、このページでは最新バージョンのJRE(1.4.2_15)を使用した「申請者用プログラム」を提供しています」としている。神奈川県は、JRE同梱のインストーラを配布中。6日付の告知で、「このたび、J2RE1.4.2_14以前について報告されている脆弱性への対応として、本システムが推奨するJ2REのバージョンを「J2RE1.4.2_14」から「J2RE1.4.2_15」へ変更することとなりました」としている。沖縄県は、JRE同梱のインストーラを配布中。6日付の告知で、「J2RE1.4.2_15への対応を実施しました」としている。パッチバージョン固定でJREを使用させているが報道前に最新版に対応したところ該当なし。パッチバージョン固定にしていないか不明だが、最新版への対応ができたと告知しているところ富山県は、6日付のお知らせで、「これまでは、JRE1.4.2_10を推奨しておりましたが......このたびより最新のバージョンであるJRE1.4.2_15に対応しました」としている。使用するJREバージョンを1.4.2と指定してパッチバージョン固定にしていないところ大分県は、「バージョン1.4.2_15以上を用いてください」としており、13日付で「利用推奨環境をJRE1.4.2_15以降に変更」としている。1.4.1_06以降」と指定していて、6日付の案内で「当該JREを無効状態にしてください。この脆弱性に対応している1.4.2_15をご使用いただくようお願いします」としている。アップグレードされることをおすすめします」としている。秋田県は、「本システムで推奨しているバージョンは「J2RE1.4.2_15以上」となります」としている。システムでの動作環境はJRE/SDK1.4.1以降で、また現在最新のバージョンであるJRE/SDK1.4.2_15で動作確認済みです。最新版のインストールを促している。JREに新バージョンが出るたびに頻繁に告知が出ている。最新版をインストールするように案内している。VMでも動作するとしており、どのJavaバージョンでも動作するようだが、なぜか、事前準備の説明ページで、開発者向けの期限切れバージョンのダウンロードサイトへリンクしており、ここには必ず最新版より1つ前のバージョンしか置かれていないのだから、たいていの場合脆弱性のあるバージョンであり、極めて不適切。リンク先冒頭に書かれている英文が読めないらしい*1。Microsystems社のダウンロードサイトからダウンロードし、インストールしてください。社のダウンロードサイトhttp://java.sun.com/products/archive/j2se/1.4.2_14/index.html上記サイトのページに対象のバージョンが存在しない場合は、以下よりダウンロードしてください。VMでも動作するとしており、どのJavaバージョンでも動作するらしい。1.4.2_15のダウンロード方法をパッチバージョン固定で指定しており、不適切。JRE1.4.2_15を推奨しております。下記サイトよりダウンロードしてください。開発者向けの期限切れバージョンのダウンロードサイトであって、ここを紹介するのは著しく不適切。ページ冒頭の英文が読めないらしい*2。ないと駄目だとされている*3。バージョン1.4.2_14をアンインストールするなどの回避策をとっていただきますようお願いします」としている。変更で動かなくなるとは思えないのだが。徳島県は、JREのインストール方法の説明で、開発者向けの期限切れバージョンのダウンロードサイトを案内しており、英文が読めないもよう。上記サイトのページの内容は、予告なく変更されることがあります。対象のバージョンが存在しない場合は、以下よりダウンロードしてください。最新版のインストールを促している。12で動作確認済みです」としている。愛媛県はJREを使用していない。Readerの使用を推奨している。Reader8.0の提供が開始されておりますが,本システムでは正常に作動しない場合がありますので,御注意ください。電子申請システムがないもよう。全体を通して見ると、類似の対応をしているところには同じデザインのページがあったりして、共通のベンダーが関与しているように思える。訂正(16日)広島県が「使用するJREバージョンを指定していないところ」に混入していたのを取り消し。京都府を「使用するJREバージョンを指定していないところ」から「使用するJREバージョンを指定していないはずが、説明が誤っているところ」へ移動。インストールさせている。2005年2月18日の日記「サポート中止ソフトをこれからも入れさせる最高な裁判所」参照。2005年2月18日の日記「サポート中止ソフトをこれからも入れさせる最高な裁判所」参照。サポート期限切れのOSの利用はやめるよう言うべきだろう。OSに脆弱性があれば、電子申請システムも危険にさらされる(セッションハイジャックや、キーロガーを仕込むトロイなど)のだから他人事ではない。脆弱性が発見されたままサポート期限切れなので使用不可にするべきだ。