武田圭史

兵庫県　電子申請システム
2007.7.9 Java 2 Runtime Environment(JRE)の脆弱性について
http://sinsei.pref.hyogo.jp/guidance/system/index.html

●対応方法（推奨）

兵庫県電子申請システムを利用後にJREを非稼動状態にしてください。

再度、兵庫県電子申請システムを利用する場合は、再びJREを有効にします。

いや、さすがにそれは無理があると思いますけど・・・・。
県民の皆さんが、電子申請専用のパソコンを持っているわけではないでしょうし。

(7/12 11:18 追記)
あらためて確認したところ「※　現在、JRE1.4.2_15を推奨環境とするため、システムの検証を行っております。検証が終わり次第、お知らせします。 」との記述が付記されていました。
当面の対応としてはやむを得ないことかと思います。

ちなみに、「電子申請共同運営システム「ｅ-ひょうご」」についてはまだ同様の記述はされていないようです。
http://www.sinsei.e-hyogo.jp/hyogo/jre_taiou.html

「情報セキュリティ先進県」として今後のJREの更新に関しても先進的な対応がとられることを期待します。

自治体ISACあたりが間に入って各自治体、各省庁の電子政府システムやSun Microsystemsと足並みをそろえて対応するようなスキームを構築すべきではないでしょうか？

JREの更新への技術的対応の暫定措置としては下記で解説された手法も参考になると思います。
■続・厚生労働省の脆弱性放置は何が問題とされているのか（高木浩光＠自宅の日記, 7/10）
http://takagi-hiromitsu.jp/diary/20070710.html#p01

(7/17 12:45 追記)
再度「兵庫県　電子申請システム」のページを確認したところ以下のような対応が行われています。

2007.7.13
Java実行環境の推奨バージョンの変更について
兵庫県電子申請システムのJava実行環境の推奨バージョンを、JRE1.4.2_14からJRE1.4.2_15に変更しました。
旧バージョンには脆弱性が指摘されているため、お手数ですが、こちらを参照のうえ、推奨バージョン（JRE1.4.2_15）への変更をお願いいたします。

また、「電子申請共同運営システム「ｅ-ひょうご」」についても以下のような対応がなされています。

JRE1.4.2_15を推奨しております。下記サイトよりダウンロードしてください。
（既に他のバージョンをインストールしている場合は、事前にアンインストールを行ってください。）

「ｅ-ひょうご」については高木浩光さんの日記の以下のエントリーにおいて、「使用するJREバージョンを指定していないところ」という比較的良い対応のグループに分類しています。ただし「兵庫県は、JRE 1.4.2_15のダウンロード方法をパッチバージョン固定で指定しており、不適切。」との指摘もされています。これについては「兵庫県　電子申請システム」についても同じ指摘が適用されるでしょう。個別のパッチリリースについて個々に動作確認をとり、逐一更新していく必要が本当にあるのか検討が必要だと思われます。

■電子申請のJRE脆弱性放置、各都道府県の状況（高木浩光＠自宅の日記, 7/15）
http://takagi-hiromitsu.jp/diary/20070715.html#p01

ん～、惜しい・・・。