DDI Centralに認証回避の脆弱性、修正版あり
ManageEngine DDI Centralのビルド6300以下に、認証なしでDNSとDHCPの設定を書き換えられる脆弱性が公表されました。WindowsのDNS・DHCPサーバーを管理している組織は、ビルド6301へ更新し、DNSとDHCPに身に覚えのない変更がないかを確認してください。
急ぎ度: 早めに
CVSS v3が9.1で、認証なしにネットワーク越しで悪用できる評価であり、修正版のビルド6301がすでに出ているため、適用を先送りする理由がありません。
関係があるか
DDI CentralでWindowsのDNS・DHCPサーバーを管理している組織が対象です。管理コンソールのビルドが6300以下なら、該当します。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| ManageEngine DDI Central | 6.3.0 Build 6300以下 | Build 6301（2026年8月5日に修正） |
確かめ方
- 1DDI Centralの管理コンソールで現在のビルド番号を確認し、6300以下かどうかを見ます。
- 2管理対象にWindowsのDNSサーバーやDHCPサーバーを登録し、Windows Node Agentを入れているかを確認します。
- 3管理コンソールやエージェント向けの通信口に、どのネットワークから届くかをファイアウォールやアクセス制御の設定で洗い出します。
何が起きたか
DDI Centralに、認証を受けずにDNSとDHCPの管理データを書き換えられる脆弱性が公表されました。
問題があるのは、WindowsのDNS・DHCPサーバーとの同期に使うAPIです。対象のAPIはWindows Node Agentからの要求を十分に認証せず、要求の本文に書かれたサーバーのIPアドレスだけで送信元を判断していました。分類はCWE-306です。
ベンダーは、該当のAPIに認証と認可の検査を加えて修正しました。有効な認証や必要な権限がない要求は、処理の手前で拒否されます。この問題はqquynhが報告しています。
攻撃の流れ
-
1
通信が届く
攻撃者がDDI Centralの同期APIに通信できる位置にいます。
-
2
サーバーになりすます
登録済みWindowsサーバーのIPアドレスを名乗って、同期の要求を送ります。
-
3
認証なしで受理
DDI Centralが送信元を検証せず、要求を正規のものとして処理します。
-
4
設定が書き換わる
DNSゾーンやレコード、DHCPのスコープが作られたり、変更・削除されたりします。
どう悪用されるか
認証は要りません。ネットワーク経由で同期APIに届けば、利用者の操作がなくても成立する評価で、攻撃の難しさも低いとされています。ただし、管理下に登録されたWindows DNS・DHCPサーバーのIPアドレスを、攻撃者が知っていることが前提になります。
成功すると、なりすましたサーバーに紐づくDHCPのサブネット情報、DNSゾーン、ゾーンスコープ、DNSレコードを、作成・変更・削除されます。ベンダーは、DNSの通信が別の接続先へ誘導される、ネットワークの設定が誤った状態になる、DNSとDHCPの管理作業が止まる、といった影響を挙げています。CVSSでは、機密性への影響はなく、完全性と可用性への影響が高いとされています。
今すぐやること
-
1
DDI Centralのビルドを確認する
管理コンソールでビルド番号を見て、6300以下なら更新の対象です。複数の拠点やテスト環境にDDI Centralを置いている場合は、すべて確認します。
-
2
ビルド6301へ更新する
ベンダーの案内に従い、該当するサービスパックでビルド6301に更新します。対象のサービスパックと手順は、ManageEngineのセキュリティ情報ページで確認できます。
-
3
更新後に推奨版を確認する
更新が終わったら、DDI Central ConsoleとすべてのWindows Node Agentが推奨版で動いているかを確認します。エージェントの更新漏れがないかを見るためです。
-
4
DNS・DHCPの変更を点検する
更新前の期間について、身に覚えのないDNSゾーンやレコードの追加・変更・削除、DHCPスコープの変更がないかを、各Windowsサーバーとコンソールの履歴で調べます。ゾーンの一覧は、WindowsのDNSサーバーでPowerShellから読み取り専用で確認できます。
Get-DnsServerZone
すぐ更新できないとき
更新までのつなぎとして、DDI Centralの管理コンソールと同期APIに届く通信を、登録済みのWindowsサーバーと管理端末だけに絞ります。これは一般的な緩和策で、脆弱性そのものをなくすものではないので、修正版への更新は必要です。
背景
DDI Centralは、DNS・DHCP・IPアドレス管理（IPAM）を一つのコンソールにまとめるManageEngineの製品です。今回の脆弱性があるのは、そのコンソールと、WindowsのDNS・DHCPサーバーに置くエージェントとの同期です。DNSは名前から接続先を決め、DHCPは端末にアドレスを配るので、ここが書き換わると、利用者は気づかないまま別の接続先へ流されたり、ネットワークにつながらなくなったりします。
要求の中で送り手が名乗る値をそのまま信用する仕組みは、認証欠如の脆弱性で典型的な形です。管理サーバーは多数の機器の設定を集約しているため、一つの入口が破られると、配下のサーバーの設定にまで影響が及びます。
よくある質問
Q.管理コンソールをインターネットに公開していなければ、急がなくてよいですか。
Q.WindowsのDNS・DHCPサーバー側にも修正を当てる必要はありますか。
まだ分かっていないこと
- 修正版が出た2026年8月5日から、CVEが公表された11月12日までの経緯は、告知に書かれていません。
- 告知には、実際の攻撃での悪用の記載がありません。
- 告知の本文にはCVE-2026-4734と書かれており、CVE-2026-19422との関係は説明されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| ZohocorpDDI Central |
6301 未満→ 6301 |
6301 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Zohocorp ManageEngine DDI Central versions below 6301 is affected by an authentication bypass vulnerability in Windows DNS and DHCP agent synchronization APIs, allowing unauthenticated user to impersonate onboarded Windows servers and perform unauthorized DNS and DHCP modifications.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web manageengine.com
- web nvd.nist.gov
- web github.com