5日から報道された問題。各都道府県ではどうなっているのか。短時間でざっと調べてみた。（忙しいと逃避してしまう。NISCが調査するとの報道だったので任せておけばいいところ、つい調べてしまう。）
上から順に悪い事例。下は良い事例。このように良い事例もあるのだから「○○が悪いので」は言い訳にならない。
重要なお知らせ （平成１９年７月６日）
「よろず申請本舗」ではサン・マイクロシステムズ社のソフトウェアであるJRE1.4.2_10を利用しています。既報の通りこのバージョンに脆弱性があることが確認されており、悪意あるWebサイトを閲覧すると、脆弱性を悪用し、外部からパソコン内のファイルを読み書きができるなどの可能性がありますので、不審なサイト等には充分に注意して下さい。
なお、「よろず申請本舗」では、最新のＪＲＥに対応した電子申請のソフトウェアを、今月中を目処に準備を進めております。準備が整い次第、本サイトでご案内いたしますので利用者の皆様にはご理解いただきますようお願い申し上げます。
公表日不明の「お知らせ」にて、
よろず申請本舗の一部の手続で利用している「Java 2 Runtime Environment（JRE）のバージョン1.4.2_10についてセキュリティ上の脆弱性があることが判明しました。本脆弱性に対応した新しい JREの提供につきましては、準備が整い次第本サイトでご案内いたしますので、それまで提供元が不明であるなど不審と思われるアプレットは絶対に実行しないように注意してください。
とあり、2005年2月19日の日記「官公庁の担当者は署名なしアプレットの存在を知らないのか」で書いたことと同じ勘違いをしていて、事の重大性を理解していないと思われる。
２．この問題の対応策
やまぐち電子申請サービスでは、「Java Web Start」は利用いたしませんが、より安全を確保するために次の手順に従って、ご利用されるブラウザから Java Web Start アプリケーションが起動しないように処理を行ってください。
トップページには「重要なお知らせ」として6日付で「公的個人認証サービスに係る重要なお知らせ」という案内を出しているが、「詳細は厚生労働省のホームページのとおり」として他人事。
１．岡山県・市町村電子申請システムでは、公的個人認証サービスを用いた電子申請を行う場合は、サン・マイクロシステムズ社のソフトウェアである JRE1.4.2_10を利用しているところですが、同様のソフトウェアを利用する厚生労働省からJREの脆弱性について発表がありました。詳細は厚生労働省のホームページのとおりですが、被害回避のため、公的個人認証サービスを用いた電子申請を行わない場合は、JREを削除していただきますようお願いいたします。JREの削除情報は厚生労働省のホームページを参照してください。
今後は、サン・マイクロシステムズ社が公表するJREの脆弱性を解消する情報が入り次第、情報提供させていただきますので、ご理解ください。
その情報は一昨年に公表されている。
トップページには、6日付で「Sun Microsystems社「Java2 Runtime Environment」のぜい弱性について」の告知があり、無効化するか削除する手順を紹介している。
同じページの下の方で、「JRE使用の注意事項について」として、次のように説明している。_07 の記述があることから、2005年に書かれたものと思われる。
佐賀県電子申請システムで利用しているバージョンについて
現在、佐賀県電子申請システムで動作確認しているJREのバージョンはJRE1.4.1_06です。 佐賀県電子申請システムでは、JREを上記の脆弱性対応バージョンにした場合、申請データの画面が一部、表示されないことが確認されています。 上記のバージョンでの正常動作を確認するまでの間、次の「対処方法」を実施いただくようお願いいたします。
対処方法
提供元が不明で不審と思われるアプレットは、絶対に実行しないでください。佐賀県電子申請システムを利用された後、当該JREを非稼動状態にしてください。
「絶対に実行しないでください」というのは、2005年2月19日の日記「官公庁の担当者は署名なしアプレットの存在を知らないのか」で書いたことと同じ勘違いをしていると思われる。
新潟県申請・届出システムでは、JREを最新バージョンにした場合、申請データの送信ボタンでエラーが表示されるなど、一部機能が正常に動作しないことが確認されています。
最新バージョンにおける動作確認につきましては、鋭意実施いたしますが、それまでの間は下記の対応を実施いただくようお願いいたします。
(1) 提供元が不明であるなど不審と思われるアプレットは、絶対に実行しないでください。
(2) 新潟県申請・届出システムを利用された後、当該JREを非稼動状態にするようにしてください。
「絶対に実行しないでください」は、2005年2月19日の日記「官公庁の担当者は署名なしアプレットの存在を知らないのか」で書いたことと同じ勘違いをしているもよう。
滋賀県電子申請システムでは、ご利用のパソコンに申請時の入力内容を保存したり、電子署名を行うために、ご利用のパソコンに「申請者用プログラム」とJRE（Java Runtime Environment Version1.4.2_06）をインストールする必要があります。
※プログラムのインストールをさせる際に、ＪＲＥ（Java）の最新バージョンでインストールするかを確認する場合があります。（利用者側の環境によって異なります。）その際には、必ず「いいえ」とし最新のバージョンでインストールしないようにしてください。
として、マニュアルでも「JRE 1.4.2_06 以外のJRE がインストールされている場合は、事前にJRE をアンインストールしてください」としている。JRE 1.4.2_06 は特に古く、脆弱性が公表されたのは2005年3月。2007年5月10日付のお知らせで、「当面の間は、下記の対応を行っていただきますようお願いします」として、Javaの無効化を案内している。
インターネットセキュリティに関する重要なお知らせ
現在電子署名を行う電子申請手続用にダウンロードして御利用頂いております「宮城県電子申請システムインストーラ」につきまして，その中に含まれている米国 Sun Microsystems社のソフトウェア（JRE1.4.2_13）にセキュリティ上の脆弱性があることが同社から公表されました。サン・マイクロシステムズ社の公表内容はこちら（英文）
宮城県では，この問題に対応した新しいインストールプログラムを提供準備中です。 電子署名の必要な申請手続を御利用される方は，大変お手数ですが宮城県電子申請システムを利用される時以外はJREをアンインストールされますようお願い致します。
長崎県電子申請システムでは、Sun Microsystems社のJava 2 Runtime Environment（以下「JRE」という。）1.4.2_10をインストールしていただき、利用しているところですが、JRE1.4.2_14以前の複数のバージョンにセキュリティホールがあることを確認しました。（略）
現在、長崎県電子申請システムのサイトからJRE1.4.2_10のダウンロードを一時停止し、セキュリティホールが修正されたバージョンのJREを早期に提供できるよう準備をしております。
として削除方法を案内していたが、利用方法の説明ページでは既に _15 に対応し、JREを自サイト上で再配布している。
http://eap.pref.nagasaki.jp/download/j2re-1_4_2_15-windows-i586-p.exe
三重県電子申請・届出システムでの動作環境はJRE/SDK1.4.1以降で、また現在最新のバージョンであるJRE/SDK1.4.2_15で動作確認済みです。
JREの入手と設定
Java実行環境としてJREをご使用になる方は、Sun Microsystems社のダウンロードサイトからダウンロードし、インストールしてください。
Sun Microsystems 社のダウンロードサイト
http://java.sun.com/products/archive/j2se/1.4.2_14/index.html上記サイトのページに対象のバージョンが存在しない場合は、以下よりダウンロードしてください。
http://java.sun.com/products/archive/index.html
JRE1.4.2_15を推奨しております。下記サイトよりダウンロードしてください。（略）
◆JRE1.4.2_15 のダウンロード（推奨）
http://javashoplm.sun.com/ECom/docs/Welcome.jsp?StoreId=22&PartDetailId=j2re-1.4.2_15-oth-JPR&SiteId=JSC&TransactionId=noreg◆JRE のダウンロード
http://java.sun.com/products/archive/index.html
また、 http://java.sun.com/products/archive/index.html は開発者向けの期限切れバージョンのダウンロードサイトであって、ここを紹介するのは著しく不適切。ページ冒頭の英文が読めないらしい*2。
※ 上記サイトのページの内容は、予告なく変更されることがあります。対象のバージョンが存在しない場合は、以下よりダウンロードしてください。
http://java.sun.com/products/archive/index.html
ただし、山形県は、「AdobeReader8.1へはアップデートなさらないようにお願いいたします」としているが、これは大丈夫なのだろうか？
また、広島県は、次のように脆弱性のあるAcrobat Readerの使用を推奨している。
・Adobe Reader6.0.1〜（6.0.1〜6.0.5推奨）
・Adobe Reader7.0※Adobe Reader8.0の提供が開始されておりますが，本システムでは正常に作動しない場合がありますので，御注意ください。なお，Adobe Reader8.0のサポートにつきましては，動作確認終了次第，改めて御案内させていただきます。
全体を通して見ると、類似の対応をしているところには同じデザインのページがあったりして、共通のベンダーが関与しているように思える。
関連：
厚生労働省の脆弱性放置は何が問題とされているのか, 2007年7月8日の日記
続・厚生労働省の脆弱性放置は何が問題とされているのか, 2007年7月10日の日記
*1 2005年2月18日の日記「サポート中止ソフトをこれからも入れさせる最高な裁判所」参照。
*2 2005年2月18日の日記「サポート中止ソフトをこれからも入れさせる最高な裁判所」参照。
*3 サポート期限切れのOSの利用はやめるよう言うべきだろう。OSに脆弱性があれば、電子申請システムも危険にさらされる（セッションハイジャックや、キーロガーを仕込むトロイなど）のだから他人事ではない。同様に、Netscape Navigator 4.x も脆弱性が発見されたままサポート期限切れなので使用不可にするべきだ。