�g����

[English]

���Ǝ㐫�΍���f�[�^�x�[�X(�ڍ׃y�[�W)�̓ǂݕ�

JVNDB-XXXX-XXXXXX (�Ǝ㐫�΍���f�[�^�x�[�X�o�^�ԍ�)

�u�Ǝ㐫�̃^�C�g���v

�Ǝ㐫�΍���f�[�^�x�[�X�o�^�ԍ��́A�Ǝ㐫�΍���f�[�^�x�[�X(JVN iPedia)�ɓo�^����Ă���Ǝ㐫�ŗL�̔ԍ��ł��B�Ⴆ�΁uJVNDB-2007-001234�v�̂悤�Ȕԍ����Ǝ㐫�P�ʂɊ���U���܂��B4 �P�^�\�L"2007"�́A����U��ꂽ�Ǝ㐫��񂪔������ꂽ����N���A6�P�^�\�L"001234"�́A�N���̒ʂ��ԍ���\���܂��B

�u�Ǝ㐫�̃^�C�g���v�́A�ǂ̃V�X�e��(���i)�ɂǂ̂悤�ȐƎ㐫�����݂��邩�������܂��B

�T�v

�Ǝ㐫�̌ŗL�̊T�v��1, 2�s�ŋL�q���܂��B���m���ڍׂȏ�񂪕K�v�ȏꍇ�́A�x���_����܂����Q�l������Q�Ɖ������B2007�N���O�̐Ǝ㐫�΍���ȂǁA�{�f�[�^�x�[�X���J�O(2007�N4��25��)�ɒ~�ς��ꂽ�ꕔ���e�ɂ‚��Ă͋L�q���[�����قȂ�A�Ǝ㐫�̌ŗL�̊T�v�ł͂Ȃ��֘A���镡���̐Ǝ㐫�̊T�v���L�q����Ă���ꍇ������܂��B

CVSS�ɂ��[���x

1.�uCVSS�v�Ƃ́H

�Ǝ㐫�΍���f�[�^�x�[�X�ł́A���ʐƎ㐫�]���V�X�e��CVSS(Common Vulnerability Scoring System)��p���āA�]�����ʂ����CVSS��{�l�̕]�����e���L�ڂ��A�Ǝ㐫�̌ŗL���[���x��\���Ă��܂��B�Ȃ��ACVSS�ɂ́AFIRST����2007�N6��20���Ɍ��J���ꂽ���ʐƎ㐫�]���V�X�e��CVSSv2�A2015�N6��10���Ɍ��J���ꂽCVSSv3�����݂��AJVNiPedia�ł�2015�N12��1�������Z�L�����e�B�����x���p�[�g�i�[�V�b�v�ŕ񍐂��ꂽ�Ǝ㐫��Ώۂ�CVSSv2�ACVSSv3�𕹋L���Č��J���Ă��܂��B

JVN iPedia��ł̕\����


CVSSv2 CVSSv3

2.�uCVSSv2�v�ƁuCVSSv3�v�̈Ⴂ�ɂ‚���

CVSSv2�́A�U���ΏۂƂȂ�z�X�g��V�X�e���ɂ����Ắu�Ǝ㐫�ɂ��[���x�v��]�����Ă��܂������ACVSSv3�ł́A���z����T���h�{�b�N�X���Ȃǂ��i��ł��Ă��邱�Ƃ���A�R���|�[�l���g�P�ʂŕ]�������@����荞�񂾎d�l�ƂȂ��Ă��܂��B

3.[IPA�l] �� [NVD�l] �ɂ‚���

�[���x���ɕ\������� [IPA�l] �� [NVD�l] �́A�ǂ̑g�D���]�������[���x����\���܂��B[IPA�l]�A[NVD�l] ���ꂼ��̑g�D�͈ȉ��̂Ƃ���ł��B[IPA�l] �� [NVD�l] ���������݂�����̂́A[IPA�l] ��D��\�����Ă��܂��B

CVSS�[���x�]�����ʂ�\���g�D�̕\���ɂ‚���
�\�� ����
[IPA�l] �Ɨ��s���@�l ��񏈗����i�@�\(IPA)�ɂ��CVSS�[���x�]������(CVSS��{�l)�ł��邱�Ƃ�\���܂��B
[NVD�l] NIST(National Institute of Standards and Technology)���^�c����Ǝ㐫���f�[�^�x�[�XNVD(National Vulnerability Database)�Ɍ��J����Ă���]������(CVSS��{�l)�ł��邱�Ƃ�\���܂��B

4.CVSS�v�Z�@�ɂ‚���

�Ǝ㐫�΍���f�[�^�x�[�X�̏ڍ׃y�[�W��CVSS�ɂ��[���x���\������Ă���ꍇ�A�R�‚̊[��{�]���(��{�l)�A����]����A�‹��]���]�ŐƎ㐫��]�����邱�Ƃ��ł���CVSS �v�Z�@(CVSS Calculator)�𗘗p���邱�Ƃ��ł��܂��BCVSS�v�Z�@�̎g�����ɂ‚��ẮA�����������Q�Ɖ������B

�e�����󂯂�V�X�e��

�e�����󂯂鐻�i(OS��A�v���P�[�V�����A���C�u�����A�g���ݐ��i�Ȃ�)�̖��̂Ƃ����o�[�W�����ԍ��Ȃǂ��x���_���Ƃɗ񋓂��܂��B���i�����̍ۂɑI���������i���́A�����ɗ񋓂���鐻�i���ɊY�����邩���r���܂��B

�z�肳���e��

�Ǝ㐫�����p���ꂽ�ꍇ�A�e�����󂯂鐻�i�̃��[�U�ɑ΂��Ăǂ̂悤�Ȕ�Q���z�肳��邩���L�q���܂��B�U�����������邽�߂̏���(�Ⴆ�΁A�Ǘ��Ҍ����ł��炩���߃V�X�e���Ƀ��O�C�����Ă���K�v�����铙)�Ɋւ�������A�����Ɋ܂܂�܂��B

�΍�

�e�����󂯂�V�X�e���̊J�������񋟂���x���_�΍���̑��ݗL�����m�F���邱�Ƃ��ł��܂��B�܂��C���o�[�W����������Ȃǂ̑΍�Ɋւ���⑫���ɂ‚��Ă��A�����Ɋ܂܂�܂��B

�x���_���

�΍����Ǝ㐫�̑Ή��󋵁A�܂�����Ɋ֘A�����񂪋L�ڂ���Ă���x���_���A�h�o�C�U����C���o�[�W�����̃����[�X�m�[�g�Ȃǂւ̃����N���x���_���ƂɋL�ڂ��܂��B

�Ǝ㐫�Ɋ֘A����x���_�����m�F���邱�Ƃ��o���Ȃ��܂��͕s���m�ȏꍇ�ɂ́A�x���_�̃g�b�v�y�[�W���L�ڂ���ꍇ������܂��B

�Q�l���

JVN �T�C�g���⍑���O�̑��g�D�A�Z�L�����e�B�|�[�^���T�C�g�������J����֘A�����ւ̃����N���L�ڂ��܂��B

�X�V����

���e�C�������ۂɍX�V���e���Ȍ��ɋL�ڂ��܂��B�x���_����Q�l���ւ̃����N�lj����Ȃǂ͗����̋L�ڑΏۂƂ��Ȃ��ꍇ������܂��B

���t�ɂ‚���

1.���\��

�x���_���A�h�o�C�U���̌��J���A���g�D��Z�L�����e�B�|�[�^���T�C�g���̓o�^/���J���A�����҂���ʌ����ɕ񍐂������ȂǁA�Ǝ㐫�΍��񂪈�ʂɌ��\���ꂽ���t���L�ڂ��܂��B

2.�o�^��

�Ǝ㐫�΍���f�[�^�x�[�X��ŏ��߂Č��J���ꂽ���t���L�ڂ��܂��B�{�f�[�^�x�[�X���J�O(2007�N4��25��)�ɒ~�ς����Ǝ㐫�΍���́A�o�^���\�����u2007�N04��01���v�ɓ��ꂳ��Ă��܂��B(�������A2007�N4��2������4��24���܂łɐV�K�o�^�����{�����ꕔ�f�[�^�͏���)

3.�ŏI�X�V��

�Ǝ㐫�΍����X�V���ꂽ�Ō�̓��t���L�ڂ��܂��B�X�V����Ă��Ȃ����͓o�^���Ɠ������t���L�ڂ��܂��B


��CVSS �v�Z�@�̎g����

CVSS�ɂ‚��Ă������������Q�Ɖ������B

�菇

  1. �e�Ǝ㐫�΍���̏ڍ׃y�[�W�ɋL�ڂ����CVSSv2�A�܂���CVSSv3�̊�{�l(���l)���N���b�N���邱�ƂŁACVSS�v�Z�@���V�����E�B���h�E�ŊJ���܂��B
  2. CVSS �v�Z�@�ɂ́A���l�̃N���b�N�����s�����Ǝ㐫��CVSS��{�l�̕]�����e���ACVSS�v�Z�@�Ƀp�����[�^�Ƃ��Ĉ����n����܂��B
  3. ���p�҂��c�����Ă���A���i�̗��p�‹���g�p�󋵁A�U���R�[�h�̑��݂Ȃǂ̏������ƂɁA�K�v�Ȍ���]����A�‹��]����̊e�]�����ڂɂ‚��āA�v���_�E�����j���[����I�����܂��B

�������̎g����

1.��{����

�@������������͂��āu�����v�{�^�����N���b�N����ƁA���̌��������Ƀ}�b�`����Ǝ㐫�΍��񂪕\������܂��B

2.��������

�@���L�̌���������p�ӂ��Ă��܂��B�����̌����������g�p����΍i�荞�݌����ɂ����p���邱�Ƃ��ł��܂��B

���������̎g����
�������� ������
�����L�[���[�h ���͂����L�[���[�h�Ɋ֘A����Ǝ㐫�΍��񂪕\������܂��B
�����̎g����(�����L�[���[�h�̓��͗�)���Q�Ɖ������B
�ދ`�ꌟ�� �{�f�[�^�x�[�X��œo�^����Ă���ދ`�ꎫ���𗘗p�����������ł��܂��B�`�F�b�N�{�b�N�X�Ƀ`�F�b�N������ƁA�L�[���[�h�����̌��ʂƂ��̃L�[���[�h�Ɋ֘A�����ދ`��̌������ʂ������ďo�͂���܂��B
�x���_������ �{�f�[�^�x�[�X��œo�^����Ă���x���_���猟�����ł��܂��B�v���_�E�����猟���������x���_��I�����܂��B
���i���� �{�f�[�^�x�[�X��œo�^����Ă��鐻�i��񂩂猟�����ł��܂��B�v���_�E�����猟�����������i����I�����܂��B
���i�����ł́A���i��I������O�Ƀx���_�����w�肷��K�v������܂��B
�x���_��/���i������ �x���_���A���i���ŃL�[���[�h�������s���A���������ɔ��f�����邱�Ƃ��ł��܂��B
�u�x���_��/���i�������v�{�^�����N���b�N����ƃ_�C�A���O���\������܂��̂ŁA�L�[���[�h�ɂ�錟�����s���܂��B

������F

���\������ �Ǝ㐫���������ꂽ���t�Ŋ���(�N��)���w�肵�Č������ł��܂��B�v���_�E���������(�N��)��I�����܂��B�܂��J�n�N���܂��͏I���N���݂̂̎w��ł������”\�ł��B
�ŏI�X�V������ �{�f�[�^�x�[�X��ōŏI�X�V���ꂽ���t�Ŋ���(�N��)���w�肵�Č������ł��܂��B�v���_�E���������(�N��)��I�����Č������邱�Ƃ��ł��܂��B�u���\�������v�Ɠ����g�����ł��B
�[���x �e�ڍ׃y�[�W��CVSSv3�̊�{�l�܂��́ACVSSv2�̊�{�l�̂ǂ��炩����ɕ\������鎟�̐[���x��I�����Č������邱�Ƃ��ł��܂��BCVSS�ɂ‚��Ă������������Q�Ɖ������B
�[���x
CVSS v3��{�l
�ً}
9.0�`10.0
�d�v
7.0�`8.9
�x��
4.0�`6.9
����
0.1�`3.9
�Ȃ�
0
�[���x
CVSS v2��{�l
���x��III
(�댯)
7.0�`10.0
���x��II
(�x��)
4.0�`6.9
���x��I
(����)
0.0�`3.9

CWE ���ʐƎ㐫�^�C�v�ꗗ(CWE)���w�肵�Č������ł��܂��B

3.�����L�[���[�h�̓��͗�

�L�[���[�h�����ł́A���i���� ID�A�U����@�Ȃǂ���͂��܂��B�܂��A�ȉ��̂悤�Ɍ�������X�y�[�X�ŋ�؂��Ă̕��������ł̌�����A������v�������ł��܂��B���{��ł̌������ʂ̌��������Ȃ��ꍇ�́A�p��ł������Ă݂Ă��������B(�u�V�X�R�v���uCisco�v�@�Ȃ�)

�L�[���[�h��������F

  • �x���_���@(�uSun�v�A�u�x�m�ʁv)
  • ���i���@(�uApache�v�A�uOracle�@Database�v�A�uFirefox�v)
  • �U����@�̖��́@(�u�N���X�T�C�g�X�N���v�e�B���O�v�A�u�o�b�t�@�I�[�o�[�t���[�v�A�uDoS�v �Ȃ�)

  • �g���L�[���[�h�ɂ‚���
    �@�Ǝ㐫�΍��񌟍���ʂ̌��������ɑ΂��Ĉȉ��̊g���L�[���[�h���w�肵���ꍇ�A�w�肳�ꂽ�L�[���[�h�ɏ]���Č������s���܂��B

    �g���L�[���[�h�ꗗ
  • vendor : �x���_���ɑ΂��Ďw�肳�ꂽ������̕�����v�������s���܂��B
  • product : ���i���ɑ΂��Ďw�肳�ꂽ������̕�����v�������s���܂��B

  • �g���L�[���[�h�w����@
  • �g���L�[���[�h:���������� (��> vendor:�A�h�r�V�X�e���Y)


  • �g���L�[���[�h�𓯎��Ɏw�肵���ꍇ��AND�����ɂ�錟�����s���܂��B

    (��> vendor:apache product:tomcat)

�x���_���A�h�o�C�U��ID��������F

  • ���b�h�n�b�g �Z�L�����e�B�A�v�f�[�g�@(�uRHSA-2004:120�v)
  • �^�[�{���i�b�N�X ���i�Z�L�����e�B���@(�uTLSA-2007-13�v)
  • 2006�N�Ɍ��J���ꂽ�^�[�{���i�b�N�X ���i�Z�L�����e�B���������@(�uTLSA-2006�v)

JVN�T�C�g��ID��������F

  • VN-JP�@(�uJVN#47272891�v�A�uJVN#�v)
  • VN-CERT/CC�@(�uJVNVU#�v�A�uJVNTA06-283A�v�A�uJVNCA-2004-01�v)
  • �o�^�ς� VN-CPNI �S�Ă������@(�uNISCC-�v)
  • TRnotes�@(�uTRTA07-047A�v)

���g�D��Z�L�����e�B�|�[�^���T�C�g��ID��������F

  • CVE,NVD�@(�uCVE-2007-0001�v)
  • US-CERT�@(�uVU#794752�v�A�uTA07-047A�v�A�uTA06�v)
  • XForce�@(�u27849�v)
  • Secunia�@(�uSA24109�v)

OSZAR »