サーバー・CMS・フレームワーク
Webサーバー、言語の実行環境、CMS、フレームワークなど。バージョンを識別できた製品を、CVEのデータと照合します。
仕組み
登録から結果まで、5つの段階。
サイトを登録する
診断したいサイトのURLを入れます。ログインして、1つのアカウントに複数のサイトを登録できます。
持ち主であることを示す
DNSのTXTレコード、または確認用のファイルを置きます。確認できたサイトだけが診断の対象になります。
使っているものを識別する
通信の応答、HTML、読み込まれているスクリプトから、ソフトウェアの名前とバージョンを読み取ります。ロックファイルやSBOMを渡した場合は、そこに書かれたパッケージとバージョンを使います。
既知の脆弱性と照らし合わせる
読み取ったバージョンが、公開されている脆弱性(CVE)の対象範囲に入るかを調べます。
レポートで、直し方まで受け取る
重大度の順に並び、見つかった理由と、更新すべきバージョンまでがまとまります。
識別できるもの
144の製品と、74のライブラリ。
JavaScriptライブラリ
公開ページで読み込まれているライブラリの名前とバージョンを読み取り、既知の脆弱性の情報と照合します。
本体・プラグイン・テーマ
本体のバージョンに加えて、導入されているプラグインとテーマを識別し、それぞれの既知の脆弱性と照らし合わせます。
ロックファイルとSBOM
ファイルを渡すだけで、依存関係を調べる。
アップロードしたファイルは、パッケージ名とバージョンを取り出したあとに破棄します。原本は保存しません。※4
| ファイル | 対象 |
|---|---|
| package-lock.json / npm-shrinkwrap.json | npm |
| yarn.lock / pnpm-lock.yaml | npm |
| composer.lock | Packagist(PHP) |
| Pipfile.lock / poetry.lock / uv.lock / requirements.txt | PyPI(Python) |
| Cargo.lock | crates.io(Rust) |
| go.mod / go.sum | Go |
| Gemfile.lock | RubyGems(Ruby) |
| packages.lock.json | NuGet(.NET) |
| CycloneDX JSON / SPDX JSON | SBOMに含まれる各エコシステム |
持ち主の確認
診断できるのは、あなたのサイトだけ。
他人のサイトを診断することは、できません。次のどちらかで、そのサイトを管理していることを示します。
- DNSのTXTレコードHoshimiが発行する値を、ドメインのTXTレコードに追加します。
- 確認用のファイル発行されたファイルを、サイトの指定の場所に置きます。
- 本人の確認最初に1回だけ、本人であることを確認します。他人のサイトを診断する悪用を防ぐためです。
- 診断の直前にも確認登録のときだけでなく、診断を始める直前にも、確認済みの状態かを調べます。
診断結果
重大なものから、更新先まで。
- 重大度の順に並ぶまず対処したい指摘が、いちばん上に来ます。
- 見つかった理由が分かるどの製品の、どのバージョンを読み取ってそう判断したかを示します。
- 更新先が分かる既知の脆弱性の対象から外れるバージョンを示します。
- PDFで保存できる結果の画面から、印刷またはPDFとして保存できます。
https://example.com
既知の脆弱性が2件見つかりました
高 1中 1
高CVE-2012-6708
Selector interpreted as HTML
根拠
jQuery 1.8.0
直し方
対象の範囲から外れるバージョンへ更新してください。
中CVE-2020-11023
Passing HTML containing option elements to manipulation methods
根拠
jQuery 1.8.0
例です。※5
安全のために
しないことを、先に決めている。
データを書き換えない
公開されている情報を読み取るだけです。リクエストにはタイムアウトとリダイレクトの上限があり、内部のネットワークへの接続は遮断しています。※6
原本を保存しない
アップロードしたロックファイルとSBOMは、パッケージ名とバージョンを取り出したあとに破棄します。
分からないときは、診断を成立させない
バージョンを識別できなかったときは、診断を完了にしません。お支払いは返金します。
返金
識別できなかったときは、返金する。
バージョンを公開していないサイトは、識別できません。その場合は診断を成立させず、お支払いを戻します。※7
- 診断が始まる公開されている情報から、バージョンを探します。
- バージョンを1つも識別できない診断は、完了になりません。
- 自動で返金するお支払いは、カード決済を返金します。
よくある質問
よくある質問
診断できるサイトは?
あなたが持ち主であると、DNSのTXTレコードか確認用のファイルで示せたサイトだけです。他人のサイトは診断できません。
サイトに攻撃を仕掛けるのですか?
攻撃はしません。ヘッダー、HTML、公開されているスクリプトなどの公開情報から、使われているソフトウェアとバージョンを識別して、既知の脆弱性と照らし合わせます。
診断でサイトが止まることはありますか?
通常のブラウザが送るのと同じ種類の、読み取りだけのリクエストです。データの書き換えは行いません。
バージョンが分からないサイトは?
識別できなければ、診断は成立しません。お支払いの分は、カード決済を返金します。
ロックファイルは保存されますか?
アップロードしたファイルの原本は保存しません。パッケージ名とバージョンを取り出したあとは、それだけを診断に使います。
どのロックファイルに対応していますか?
package-lock.json、yarn.lock、pnpm-lock.yaml、composer.lock、Pipfile.lock、poetry.lock、uv.lock、requirements.txt、Cargo.lock、go.mod、go.sum、Gemfile.lock、packages.lock.json、そしてCycloneDXとSPDXのJSONです。
結果が出るまでの時間は?
多くの場合は数分以内です。画面を閉じても、結果はあとから見られます。
結果の言語は?
診断の所見は日本語です。既知の脆弱性の説明は、公開元の英語のまま表示します。
結果を保存したり、共有したりできますか?
結果の画面から、印刷またはPDFとして保存できます。
支払い方法は?
クレジットカードで、Stripeの決済画面からお支払いします。
登録に必要なものは?
メールアドレスと、最初に1回だけの本人確認です。他人のサイトを診断する悪用を防ぐために、お願いしています。
月額の契約は必要ですか?
要りません。1回ごとの買い切りで使えます。月額プランを契約している間は、CVE診断は使い放題です。
法人で使えますか?
使えます。複数のサイトの診断や、専用の設定が必要な場合は、お問い合わせからご相談ください。
診断の結果は、どこまで信頼できますか?
診断の結果は参考情報です。完全であることや、対象の安全を保証するものではありません。
- ※1診断できるのは、DNSのTXTレコードまたは確認用のファイルで、持ち主であることを確認できたサイトだけです。診断を始める直前にも、確認済みの状態かを調べます。
- ※2金額は税別です。CVE診断は、1回ごとの買い切りです。バージョンを識別できなかった場合は返金します。
- ※3対応製品・ライブラリの数は、このサービスが現在識別できる範囲です。公開されていないバージョンは識別できません。一覧は今後、増える場合があります。
- ※4アップロードしたロックファイルとSBOMの原本は保存しません。取り出したパッケージ名・バージョンなどと、二重の受付を防ぐためのハッシュ値は保存します。
- ※5例です。実際の診断結果とは異なります。既知の脆弱性の説明は、公開元の英語のまま表示します。
- ※6診断のリクエストには、接続のタイムアウトとリダイレクトの上限があります。診断の対象のサイトの状態によっては、結果が得られないことがあります。
- ※7バージョンを識別できず診断を完了できない場合は、お支払いを自動で返金します。決済の返金が完了しない場合は、運営者が内容を確認して対応します。通信の失敗などで診断を完了できない場合は、返金ではなく、診断チケットを戻します。