HiRDBに重大な脆弱性、Version 10は修正版あり
日立のデータベースHiRDBに、CVSS v3で9.8の脆弱性が公表されました。Version 9と10を使う組織が対象で、Version 10には修正版があるため、使っている版と系列を洗い出して更新を進めてください。
急ぎ度: 早めに
CVSS v3が9.8と最高水準で、機密性・完全性・可用性のすべてに高い影響が評価されており、Version 10の一部の系列には修正版も出ているためです。
関係があるか
HiRDBのVersion 9系またはVersion 10を、AIX・HP-UX・Linux・Windowsのいずれかで動かしている組織が対象です。業務システムの裏側で動いていて、利用部門が製品名を意識していないケースもあります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| HiRDB Server Version 10 | 10-00から10-12までの各系列で、10-12-01より前の版。対象OSはAIX・HP-UX・Linux・Windows | 10-12-01、10-11-02、10-08-05（AIX・Linux・Windows向け）。HP-UX向けの修正版は記載がありません |
| HiRDB Server Version 9 | 09-50-06から09-66-22。対象OSはAIX・HP-UX・Linux・Windows | 修正版の記載なし。日立のサポート窓口に確認が必要です |
| HiRDB Server with Additional Function Version 9 | 09-50-/Fから09-66-/V。対象OSはAIX・HP-UX・Linux・Windows | 修正版の記載なし。日立のサポート窓口に確認が必要です |
| HiRDB Server Version 9(32) | 09-50-06から09-66-22(Windows) | 修正版の記載なし。日立のサポート窓口に確認が必要です |
| HiRDB Server with Additional Function Version 9(32) | 09-50-/Fから09-66-/V(Windows) | 修正版の記載なし。日立のサポート窓口に確認が必要です |
確かめ方
- 1資産台帳や構成管理表で、HiRDBを使っているシステムを洗い出し、製品名・版・OSを一覧にします。
- 2Version 10は、版が10-12-01より前かどうかと、10-12・10-11・10-08のどの系列かを確認します。
- 3運用を委託している場合は、委託先やSIerに、使っている版と修正版の適用計画を問い合わせます。
何が起きたか
日立は2026年11月10日、データベース製品HiRDBの脆弱性CVE-2026-115646を公表しました。悪用されると、データの漏えい・改ざん・サービス停止のいずれにもつながりうるという評価です。
CVSS v3は9.8(Critical)です。分類はCWE-187で、名前のとおり、文字列を比べる処理が一部分しか見ていないことに由来する種類の脆弱性とされています。
対象はVersion 9系とVersion 10で、Version 10には3つの系列で修正版が出ています。版ごとの対象と修正版は、影響欄に示したとおりです。
攻撃の流れ
-
1
接続できる位置
HiRDBサーバーにネットワーク経由で接続できる位置を確保します。
-
2
比較処理を狙う
文字列の比較処理の不備に当たるリクエストを送ります。
-
3
判定が甘くなる
比較が一部だけで済み、想定外の値が受け入れられるとみられます。
-
4
データへの影響
データの読み取り・改ざん、サービス停止につながるおそれがあります。
どう悪用されるか
CVSSのベクターでは、攻撃元区分はネットワーク、攻撃条件の複雑さは低、必要な権限は不要、利用者の操作も不要とされています。つまり、HiRDBに接続できる位置さえあれば、ログインも誰かの操作も前提にしない評価です。
被害は、機密性・完全性・可用性のすべてで影響が高いと評価されています。HiRDBに保存された業務データを読まれる、書き換えられる、サービスを止められるといった事態が想定されます。影響の範囲はHiRDB自身にとどまる評価です。
今すぐやること
-
1
使っているHiRDBの版と系列を洗い出す
製品名（Server、Additional Function、32ビット版の区別）、版、OSを一覧にします。開発・検証用の環境や、使われなくなったまま動いているサーバーも含めます。
-
2
Version 10は修正版に更新する
10-12系は10-12-01、10-11系は10-11-02、10-08系は10-08-05に更新します。入手方法は日立のサポート窓口が案内しています。本番に当てる前に、検証環境で業務アプリとの接続を確認します。
-
3
ほかの系列とVersion 9は日立に問い合わせる
Version 9系、HP-UX上のVersion 10、修正版のない系列のVersion 10を使っている場合は、日立のサポート窓口に修正版の提供状況と移行先を確認します。修正版が出ていると決めつけず、回答を得てから計画を立てます。
-
4
接続元を点検する
HiRDBに接続できる機器とネットワークの範囲を洗い出し、必要のない経路があれば絞ります。あわせて、見覚えのない接続元からのアクセスがログに残っていないかを調べます。
すぐ更新できないとき
回避策は、日立の告知には書かれていません。修正版を当てるまでのつなぎとしては、HiRDBへ接続できる経路をアプリケーションサーバーなど必要な機器だけに限る方法があります。ファイアウォールやネットワーク機器のルールで、管理端末や拠点間の不要な到達経路を閉じます。これは修正の代わりにはなりません。
背景
HiRDBは日立のリレーショナルデータベース管理システムで、基幹系や業務システムの裏側でデータを預かる役割を持ちます。アプリケーションの画面には出てこないため、更新の担当が曖昧になりやすく、版が古いまま長く動いている環境も珍しくありません。今回の対象には、版が09-50台の古い系列から10-12までが並んでいます。
CWE-187は、本来は全体を見て判断すべき文字列を、一部だけ比べて判断してしまう誤りを指す分類です。認証情報や識別子の照合に使われると、本来は通らない値が通る原因になりえます。今回HiRDBのどの処理で起きるのかは公表されておらず、何が起きるかは評価値から読み取れる範囲にとどまります。
よくある質問
Q.HiRDBが社内ネットワークの中にしかなければ、急がなくてよいですか。
まだ分かっていないこと
- 文字列の比較がHiRDBのどの処理で一部分しか行われず、悪用で具体的に何が起きるのかは、公表されていません。
- Version 9系、HP-UX上のVersion 10、10-12・10-11・10-08以外の系列のVersion 10について、修正版や提供予定版は日立の告知に記載がありません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| HitachiHiRDB Server Version 10 |
10-00 以上 10-12-01 未満→ 10-12-01 |
10-12-01 |
| HitachiHiRDB Server Version 9 |
09-50-06 〜 09-66-22→ 記載なし |
記載なし |
| HitachiHiRDB Server with Additional Function Version 9 |
09-50-/F 〜 09-66/V→ 記載なし |
記載なし |
| HitachiHiRDB Server Version 9(32) |
09-50-06 〜 09-66-22→ 記載なし |
記載なし |
| HitachiHiRDB Server with Additional Function Version 9(32) |
09-50-/F 〜 09-66-/V→ 記載なし |
記載なし |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Partial String Comparison Vulnerability in HiRDB.
This issue affects HiRDB Server Version 10: from 10-00 before 10-12-01; HiRDB Server Version 9: from 09-50-06 through 09-66-22; HiRDB Server with Additional Function Version 9: from 09-50-/F through 09-66/V; HiRDB Server Version 9(32): from 09-50-06 through 09-66-22; HiRDB Server with Additional Function Version 9(32): from 09-50-/F through 09-66-/V.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web hirt@hitachi.co.jp
- web nvd.nist.gov
- web github.com