JVNとは？

JVNの意味

JPCERT/CCとIPAが共同運営する、日本国内で使われるソフトウェアの脆弱性情報とその対策を提供するポータル。届出制度（情報セキュリティ早期警戒パートナーシップ）で受け付けた脆弱性を、開発者との調整を経て公表する。脆弱性対策情報データベースJVN iPediaも提供する。

JVNの具体例

自社製品の脆弱性がIPAへ届け出られ、JVNでの調整を経て公表日が決まった。公表と同時に修正版を出す必要があるため、開発と広報の準備を逆算した。あわせて、利用中のOSSの既知脆弱性をJVN iPediaで月次確認する運用も始めた。

JVNは試験でどう引っ掛けられる？

発見者が脆弱性をいきなり公表するのではなく、IPAへ届け出てJPCERT/CCが開発者と調整し、修正提供と足並みをそろえて公表する（協調的な開示）のが制度の趣旨。

JVNと関連する用語

• JPCERT/CC
• CVE
• 脆弱性管理

JVNが出た過去問

• JVNなどの脆弱性対策ポータルサイトで採用されているCVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。

  正解：製品に含まれる脆弱性を識別するための識別子である。

  要点：CVEは個々の脆弱性を一意に識別する共通番号

  CVE識別子は、公開された個々の脆弱性に一意の番号を付けて世界共通で参照できるようにする仕組みです。これにより、異なるベンダや情報源の間でも同じ脆弱性を確実に指し示せます。

  出典：平成29年度 春期 情報処理安全確保支援士試験 am2 問10（IPA）

• JVNなどの脆弱性対策情報ポータルサイトで採用されているCVE(Common Vulnerabilities and Exposures)識別子の説明はどれか。

  正解：製品に含まれる脆弱性を識別するための識別子

  要点：CVEは脆弱性を一意に識別する共通の番号

  CVE識別子は、公表された個々の脆弱性に一意の番号を割り当てて世界共通で参照できるようにする仕組みです。ベンダや情報源が違っても同じ番号で同一の脆弱性を指せるため、情報の突き合わせが容易になります。

  出典：平成30年度 秋期 情報処理安全確保支援士試験 am2 問2（IPA）

• JVNなどの脆弱性対策情報ポータルサイトで採用されているCVE(Common Vulnerabilities and Exposures)識別子の説明はどれか。

  正解：製品に含まれる脆弱性を識別するための識別子

  要点：CVEは個々の脆弱性に付ける共通の識別番号

  CVEは、個別の製品に存在する脆弱性そのものに一意の識別子（CVE-西暦-連番）を付ける仕組みで、MITREが採番している。異なるベンダーや情報源が同じ脆弱性を指していることを照合できるようにするのが目的であり、JVNやNVDなどのポータルで共通の見出しとして使われる。設定項目の識別はCCE、製品の識別はCPEと、対象ごとに別の体系が用意されている。

  出典：令和3年度 春期 情報処理安全確保支援士試験 am2 問8（IPA）

• JVNなどの脆弱性対策ポータルサイトで採用されているCWEはどれか。

  正解：ソフトウェア及びハードウェアの脆弱性の種類の一覧

  要点：CWEは脆弱性の原因となる弱点の種類を分類した一覧

  CWEは、バッファオーバフローや不適切な入力検証といったソフトウェア・ハードウェアの弱点の種類を体系的に分類し、識別子を付けた一覧である。個々の製品に存在する具体的な脆弱性を指すCVEに対し、CWEはその原因となる弱点の型を表すため、傾向分析や開発時の作り込み防止に役立つ。脆弱性情報のポータルでは、報告された脆弱性がどの弱点分類に当たるかをCWE番号で示している。

  出典：令和6年度 春期 情報処理安全確保支援士試験 am2 問9（IPA）