脆弱性情報データベース（CVE・JVN）とは？

脆弱性情報データベース（CVE・JVN）の意味

個々の脆弱性に一意の識別子を付けて公開する仕組み。CVEは世界共通の採番、JVNは国内向けに対策情報を提供する窓口で、JVN iPediaが日本語の脆弱性データベースにあたる。製品名を共通表記するCPEと組み合わせ、自組織の資産と脆弱性を突き合わせる。

脆弱性情報データベース（CVE・JVN）の具体例

資産台帳にCPE形式で製品とバージョンを記録しておけば、新しいCVEが公開されたときに影響する機器を機械的に抽出できる。台帳が製品名の自由記述だと突合できず、影響調査に何日もかかるという運用差が生まれる。

脆弱性情報データベース（CVE・JVN）は試験でどう引っ掛けられる？

CVEは「識別子」、CVSSは「深刻度の点数」、CWEは「脆弱性の種類の分類」と役割が異なる。名前が似ているため入れ替えた選択肢が作られやすく、頭字語の意味で判断すると誤る。

脆弱性情報データベース（CVE・JVN）と関連する用語

• CVSS（共通脆弱性評価システム）
• Webアプリケーションの脆弱性（基礎の分類）
• 組織的セキュリティ対策の基礎（ISMS・リスクアセスメント）

脆弱性情報データベース（CVE・JVN）が出た過去問

• ソフトウェア製品の脆弱性を第三者が発見し、その脆弱性をJPCERTコーディネーションセンターが製品開発者に通知した。その場合における製品開発者の対応のうち、“情…

  正解：脆弱性情報の公表に関するスケジュールをJPCERTコーディネーションセンターと調整し、決定する。

  要点：製品開発者は調整機関と脆弱性の公表時期を調整する

  早期警戒パートナーシップでは、JPCERT/CCが調整機関として製品開発者と発見者の間に立ち、対策の準備状況を踏まえて公表時期を調整する。製品開発者は修正の見通しを共有しつつ、JPCERT/CCと公表スケジュールを決めるのが適切な対応である。JVNへの掲載や統計の公表は調整機関やIPAが行う役割である。

  出典：令和3年度 秋期 応用情報技術者試験 午前 問38（IPA）

• JPCERTコーディネーションセンターとIPAとが共同で運営するJVNの目的として、最も適切なものはどれか。

  正解：ソフトウェアの脆弱性関連情報とその対策情報とを提供し、情報セキュリティ対策に資する。

  要点：JVNは脆弱性情報と対策情報を公開するポータル

  JVN（Japan Vulnerability Notes）は、JPCERT/CCとIPAが共同運営する脆弱性対策情報のポータルサイトです。届出のあった製品の脆弱性情報と、修正版の提供状況などの対策情報を対にして公表し、利用者が速やかに対処できるようにすることを目的としています。

  出典：令和4年度 秋期 応用情報技術者試験 午前 問40（IPA）

• ソフトウェアの既知の脆弱性を一意に識別するために用いる情報はどれか。

  正解：CVE（Common Vulnerabilities and Exposures）

  要点：個別の脆弱性はCVE、深刻度はCVSS、種類はCWE

  CVEは、公表されたソフトウェアの脆弱性一つ一つにCVE-西暦-連番という共通の識別子を付ける仕組みである。ベンダーや製品を問わず同じ脆弱性を同じ番号で参照できるため、情報の突合せや対策状況の管理が容易になる。

  出典：令和5年度 春期 応用情報技術者試験 午前 問40（IPA）

• JVNなどの脆弱性情報サイトで採用されているCVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。

  正解：製品に含まれる脆弱性を識別するための識別子

  要点：CVEは個々の脆弱性に付ける世界共通の一意な識別番号

  CVEは、公表された個別の脆弱性に対して世界共通の一意な識別番号（CVE-年-連番）を割り当てる仕組みである。同じ脆弱性を各所が別名で呼ぶ混乱を防ぎ、製品やベンダーをまたいで情報を突き合わせられるようにすることが目的である。

  出典：令和6年度 秋期 応用情報技術者試験 午前 問41（IPA）