本文へ移動
English version →
ログイン 新規登録
JA EN FR
SecPulse
重大 9.8 急ぎ度: 早めに

Jumisに共通のsysadmin認証情報の脆弱性、修正版あり

ラトビアの会計ソフトJumisに、SQL Serverのsysadmin権限を持つログインのパスワードを第三者が計算できてしまう脆弱性が見つかりました。Jumisを使う組織は版を確認してTJ7.0.141.36以降に更新し、SQL Serverに届く範囲も絞ってください。

CVE-2026-59105 公開 更新 執筆・監修: 佐々木 航 人が監修しながらAIを活用して執筆
記事のイメージ(生成 AI による画像)
画像は生成 AI で作成したイメージです

急ぎ度: 早めに

CVSS v3は9.8、v4は9.3と高く、SQL Serverの全権限とOSコマンドの実行にまで及びますが、修正版は2026年7月のリリースから出ています。

関係があるか

Windows版のJumis（旧Tildes Jumis）を、自社サーバーや会計事務所の共用サーバーで動かしている組織が対象です。ラトビアに子会社や取引先があり、Jumisで帳簿を管理している日本企業も含まれます。

製品影響を受ける版修正版
Jumis（旧Tildes Jumis）Windows版、ベンダーはJumis Pro SIA TJ7.0.141.36より前のすべての版 TJ7.0.141.36（2026年7月リリース）。公表時点の最新はTJ7.0.142.7（2026年9月リリース）

確かめ方

  1. 1Jumisのクライアントとサーバーの版を確認し、TJ7.0.141.36より前のものがないか洗い出します。版の見方が分からなければ、Jumisの保守窓口に問い合わせてください。
  2. 2Jumisの帳簿を載せているSQL Serverで、次のクエリを実行して ##Tilde_JumisAdmin##ログインがあるか、sysadminに入っているかを見ます。SELECT name, IS_SRVROLEMEMBER('sysadmin', name) AS is_sysadmin FROM sys.server_principals WHERE name = '##Tilde_JumisAdmin##';
  3. 3そのSQL Serverに、Jumisの端末以外のネットワークから届くかをファイアウォールの設定で確認します。インターネット側から届く構成なら、先にそこから手を付けます。

何が起きたか

Jumisが業務用に作るSQL Serverのログインのパスワードを、第三者が自分で計算できてしまう脆弱性です。計算できれば、Jumisの裏で動くSQL Serverに管理者として入れます。帳簿の閲覧と書き換えに加え、データベースサーバー上でOSのコマンドを実行されるおそれもあります。

問題のログインは ##Tilde_JumisAdmin##で、sysadmin固定サーバーロールに入っています。パスワードは導入先ごとの乱数ではありません。SQL Serverの名前（@@servername）と、クライアントに埋め込まれた固定の値から算出されます。算出方法は全導入先で同じです。そのためサーバー名さえ分かれば、誰でもパスワードを再現できます。CWEはCWE-1391（弱い認証情報の使用）とCWE-547（セキュリティ上重要な定数のハードコード）です。

オンプレミスのサーバー版は、通常の運用の中でxp_cmdshellを有効にします。このため、sysadminの権限がそのままOSコマンドの実行につながります。会計事務所などが1台のサーバーに複数の顧客のデータベースを載せている場合は、1つのログインがすべての顧客の帳簿に及びます。

発見したのはセキュリティ企業のOffSeqで、CERT.LVが調整しました。OffSeqは、Jumis 7.0.140を入れたWindows 10上の自前の検証環境で再現を確認しています。ただし、算出に使う定数と実行用のツールは公開していません。

攻撃の流れ

  1. 1

    サーバー名の把握

    SQL Serverのホスト名を、名前解決やSQL Serverの応答から知る。

  2. 2

    パスワードの計算

    全導入先で共通の算出方法にサーバー名を当てはめ、手元でパスワードを求める。

  3. 3

    sysadminで接続

    計算したパスワードで ##Tilde_JumisAdmin##としてログインする。

  4. 4

    帳簿とOSへ波及

    全顧客の会計データを読み書きし、xp_cmdshellでサーバー上のコマンドを実行する。

公開されている情報をもとにした流れの例です。

どう悪用されるか

ネットワーク越しにSQL Serverへ接続できる第三者であれば、ログインなしで、利用者の操作も要らずに悪用できます。CVSSの評価も、ネットワークから、低い複雑さで、権限も利用者の操作も不要というものです。

サーバー名はSQL Server Browserサービス（UDP 1434）、TDSのプレログイン応答、DNSやNetBIOSの名前解決から得られます。名前の一部はアプリが固定で付ける接尾辞です。パスワードの算出に必要な情報は、外部からほぼ観測できます。

成功すると、SQL Serverの機密性・完全性・可用性のすべてを失います。そのインスタンス上の全顧客の会計データを読み書きされ、データベースの作成や削除、ログインの変更も許します。オンプレミスのサーバー版ではxp_cmdshellを通じてOSのコマンドも実行され、ホスト全体の侵害に進みます。

今すぐやること

  1. 1

    Jumisの版を洗い出す

    クライアントとサーバーの両方で版を調べ、TJ7.0.141.36より前のものを一覧にします。複数社のデータを預かる共用サーバーと、インターネット側から届くサーバーを先に扱います。

  2. 2

    修正版に更新する

    TJ7.0.141.36以降に更新します。公表時点の最新はTJ7.0.142.7なので、更新先に迷えば最新版を選んでください。クライアントだけでなく、SQL Serverを載せたサーバー側の導入も更新対象です。

  3. 3

    SQL Serverに届く範囲を絞る

    Jumisの端末と管理用の端末だけが接続できるように、ファイアウォールで制限します。インターネットに直接公開している構成なら、更新より先に遮断します。

  4. 4

    侵害の跡を調べる

    SQL Serverのログで、##Tilde_JumisAdmin##の接続元にJumisの端末以外のアドレスがないかを見ます。身に覚えのないログイン、データベース、OSのコマンド実行の跡も確認します。次のクエリで、xp_cmdshellが有効か（value_in_useが1か）も把握できます。

    SELECT name, value_in_use FROM sys.configurations WHERE name = 'xp_cmdshell';
  5. 5

    更新後のログインの扱いをベンダーに確認する

    修正版でこのログインやパスワードの扱いがどう変わるか、更新前に外部から到達できた環境で追加の作業が要るかを、Jumis Pro SIAの告知や保守窓口で確かめます。

すぐ更新できないとき

すぐに更新できないときは、SQL Serverへの接続を、Jumisの端末と管理用の端末だけに限定します。UDP 1434のSQL Server Browserを、信頼できないネットワークから遮断するのも有効です。ただし、サーバー名はTDSの応答や名前解決からも得られるため、それだけでは防げません。xp_cmdshellはJumisの運用中に自動で有効になるため、無効にして動作に支障が出ないかは、先にベンダーへ確認してください。

背景

Jumisは、ラトビアの企業で使われている会計ソフトです。ベンダーのサイトは、4,000社以上が利用していると案内しています。帳簿はMicrosoft SQL Serverのインスタンスに置かれ、複数社を扱う構成では、1台のサーバーに複数の顧客のデータベースが同居します。会計データは給与や取引先の情報も含むため、サーバーの管理者権限を握られると、被害は1社分では済みません。

今回の問題は、パスワードを導入先ごとに生成せず、全導入先で同じ算出方法に、サーバー名という隠されていない値を入れて作っている点にあります。算出に使う固定値はクライアントに埋め込まれており、実質的には全導入先で共通のパスワードを使っているのと変わりません。修正版のTJ7.0.141.36は2026年7月のリリースに含まれており、CVEの公表より前から配布されています。7月以降に更新していれば、すでに対象外です。

よくある質問

Q.クラウドで使っているJumisも対象ですか。
A.対象として示されているのは、Windows版のJumis（旧Tildes Jumis）のTJ7.0.141.36より前です。クラウドで提供されている製品が同じ仕組みを使っているかは、示されていません。クラウド契約の場合は、ベンダーの告知か保守窓口で影響の有無を確認してください。

この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。

影響パッケージ

パッケージ影響を受ける版 → 修正版
Jumis Pro SIAJumis
TJ7.0.141.36 未満→ TJ7.0.141.36
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。

Jumis (formerly Tildes Jumis) creates and uses a Microsoft SQL Server login named ##Tilde_JumisAdmin## whose password is derived deterministically from a single non-secret input - the SQL Server name (@@servername). The derivation algorithm is hard-coded in the client application and is identical across every installation; it contains a hard-coded secret key for entropy. Because the only input (the server name) is not secret - the instance suffix is hard-coded and the host name is discoverable via the SQL Server Browser service (UDP 1434), the TDS pre-login response, or DNS/NetBIOS - any party able to reach a Jumis SQL Server can compute the password offline and authenticate. The ##Tilde_JumisAdmin## login is a member of the sysadmin server role. Successful authentication therefore grants full administrative control of the SQL Server instance and read/write access to every customer's accounting database hosted on it. The on-premise server installation also programmatically enables xp_cmdshell during routine operation, so sysadmin access escalates to operating-system command execution on the database server.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory

参照URL

当サイトでは、アクセス解析と広告の効果測定のために Cookie を使います。株式会社Game のサイト共通の設定です。 詳しく