コーディネーションセンターと共同で行っているソフトウェア脆弱性情報の収集と対策の現状が紹介され、参加者はベンダーの取り組みやユーザー企業の要望などについて議論を行った。IPAとJPCERT/CCは、ソフトウェアやウェブアプリケーションの脆弱性を発見した利用者から情報を集め、ベンダーと協議して悪用される前に対策を講じる取り組みを進めている。IPAは情報収集を、JPCERT/CCはベンダーとの調整などを担当している。JEITAの宮地利雄氏、JUASの高橋秀敏氏IPAセキュリティセンターの早貸淳子氏によると、7月8日から9月8日までの2カ月間で、ソフトウェア製品の脆弱性に関する情報が15件、ウェブアプリケーションに関しては71件の届出があったという。ソフトウェア製品の内訳はクライアント系が7件、サーバ系が5件、組み込みソフトが1件、その他が2件となっている。JPCERT/CCの伊藤友里恵氏によれば、ソフトウェア製品の脆弱性のうち3件が国際的な案件として海外ベンダーに報告されたという。15件のうち1件は製品開発者により脆弱性ではないと判断され、1件はすでにベンダーによって修正された。コーポレートエディションにおける脆弱性だ。Policyの設定ファイル)を閲覧できるというもので、7月8日に届出があった。IPAで検証後、8月4日に製品開発者への通知が行われ、8月17日には同社から脆弱性が公開された。「予想以上に迅速な協力をしていただいた」(早貸氏)。Notes(JVC)に掲載されたのは9月3日となった。ソフトウェア製品の脆弱性については、47%がhiddenフィールドの改ざん、37%がクロスサイトスクリプティングに関するものだった。5件の修正報告を受けており、ウェブサイト運営者によって問題なしと判断されたものが1件、運用で回避できるとされたものが4件あったとのことだ。早貸氏は今後の課題として、脆弱性関連情報や対策情報の公表に関するポリシーの明確化、ユーザーに情報を届ける枠組や製品開発者側の体制の整備などを挙げる。脆弱性の報告を受けたベンダー側が、社内体制の整備や窓口の設置などに2〜3週間かかったことを挙げ、「企業の認知が進んで各社の体制が整えば、対策までの期間が大幅に縮まる」(早貸氏)と期待を寄せた。セキュリティセンターの高木浩光氏は、ベンダーや脆弱性発見者の公表方法についてガイドラインが必要と指摘する。ベンダーが脆弱性の存在をきちんとユーザーに知らせずに修正を行う「ヤミ改修」を防止する必要があるとした。JapanTetsudo.com当サイトは最新ブラウザでの閲覧を推奨します。広告について当サイトは最新ブラウザでの閲覧を推奨します。permission.このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。