2022年第2四半期の「JVN iPedia」登録状況、Spring Framework における不適切なデータバインディング処理による任意コード実行の脆弱性 他

　独立行政法人情報処理推進機構（IPA）は7月20日、2022年第2四半期（4月から6月）における「脆弱性対策情報データベース『JVN iPedia』の登録状況」を発表した。発表によると、同期間にJVN iPedia日本語版へ登録された脆弱性対策情報は2,325件で、累計登録件数が143,807件となった。内訳は、国内製品開発者から収集したもの0件（公開開始からの累計は264件）、JVNから収集したもの171件（累計11,331件）、NVDから収集したもの2,154件（累計132,212件）となっている。

　件数が多かった脆弱性は、「CWE-79（クロスサイトスクリプティング：XSS）」285件、「CWE-787（境界外書き込み）」103件、「CWE-89（SQLインジェクション）」91件、「CWE-416（解放済みメモリの使用）」が90件、「CWE-20（不適切な入力確認）」が84件などとなっている。

　製品別登録状況では、1位に「Qualcomm component（クアルコム）」、2位に「Microsoft Windows Server（マイクロソフト）」、3位に「Microsoft Windows Server 2022（マイクロソフト）」、4位に「Microsoft Windows Server 2019（マイクロソフト）」、5位に「Microsoft Windows Server 2016（マイクロソフト）」であった。

　アクセスの多かったJVN iPediaの脆弱性対策情報は、1位に「Spring Framework における不適切なデータバインディング処理による任意コード実行の脆弱性」、2位に「FUJITSU Network IPCOM の運用管理インタフェースにおける複数の脆弱性」、3位に「WordPress 用プラグイン Advanced Custom Fields における認証欠如の脆弱性」、4位に「Trend Micro Apex Central および Trend Micro Apex Central as a Service におけるファイルコンテンツの検証不備の脆弱性」、5位に「ぜろちゃんねるプラスにおけるクロスサイトスクリプティングの脆弱性」、6位に「アタッシェケースにおける DLL 読み込みに関する脆弱性」、7位に「トレンドマイクロ製ウイルスバスター for Mac における権限昇格の脆弱性」、8位に「AssetView における重要な機能に対する認証の欠如の脆弱性」、9位に「Apache HTTP Server における HTTP リクエストスマグリングに関する脆弱性」、10位に「WordPress 用プラグイン「MicroPayments - Paid Author Subscriptions, Content, Downloads, Membership」におけるクロスサイトリクエストフォージェリの脆弱性」となっている。