JP1/AJS3にバッファオーバーフロー脆弱性、修正版13-50-31あり
日立のジョブ管理製品JP1/Automatic Job Management System 3に、深刻度が高いバッファオーバーフローの脆弱性が見つかり、修正版13-50-31が出ました。Manager、Agent、Agent Minimal Editionのいずれかを使っている組織が対象で、特にジョブ実行の基盤として広く展開している環境は影響範囲が大きくなります。まず導入サーバーの洗い出しと版の確認を進め、検証のうえで修正版へ更新してください。
急ぎ度: 早めに
CVSSが9.4と高く、修正版13-50-31がすでに出ているため、通常の更新サイクルを待たずに対応を計画するのが妥当です。
関係があるか
JP1/Automatic Job Management System 3のManager、Agent、Agent Minimal Editionを使っている組織が対象です。ジョブ運用のために、複数のサーバーへAgentを配っている環境ほど確認する台数が増えます。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| JP1/Automatic Job Management System 3 - Manager | 10-00以上13-50-31未満 | 13-50-31 |
| JP1/Automatic Job Management System 3 - Agent | 10-00以上13-50-31未満 | 13-50-31 |
| JP1/Automatic Job Management System 3 - Agent Minimal Edition | 11-50以上13-50-31未満 | 13-50-31 |
確かめ方
- 1資産管理台帳や構成管理ツールで、JP1/Automatic Job Management System 3がインストールされているサーバーを洗い出します。
- 2各サーバーでManager、Agent、Agent Minimal Editionのどれが入っているかと、版を確認します。13-50-31より前なら対象です。
- 3Agentは業務サーバーの一台ごとに入っていることが多いため、Manager側の管理画面で見える範囲だけで済ませず、実際の導入状況と照らし合わせます。
何が起きたか
日立のジョブ管理製品JP1/Automatic Job Management System 3（以下JP1/AJS3）に、スタックベースのバッファオーバーフローの脆弱性が見つかりました。ManagerとAgentのほか、軽量版のAgent Minimal Editionも対象で、日立は13-50-31で修正しています。
CWEの分類はCWE-121です。メモリ上のスタック領域に、確保した大きさを超えてデータが書き込まれるタイプの不具合で、悪用されるとプログラムの動作が壊されます。
CVSS v3は9.4で、評価は重大です。機密性と完全性への影響が高く、可用性への影響は低いと見積もられています。日立の告知はhitachi-sec-2026-139で、公開は10月27日です。
攻撃の流れ
-
1
対象に到達
JP1/AJS3が動くサーバーに、ネットワーク経由で接続できる状態になります。
-
2
不正な入力
想定を超える大きさのデータが、脆弱な処理に渡されます。
-
3
メモリ破壊
スタック領域が上書きされ、プログラムの動作が壊れます。
-
4
情報への影響
製品が扱う情報の読み出しや改ざん、一部のサービス影響につながるおそれがあります。
どう悪用されるか
CVSSのベクターでは、ネットワークから攻撃でき、攻撃の複雑さは低く、事前の認証も利用者の操作も要りません。ログイン情報を持たない第三者が、JP1/AJS3の動くサーバーに到達できれば足りる評価です。
悪用されたときの被害は、機密性と完全性が高、可用性が低と見積もられています。ジョブの定義や実行結果など、製品が扱う情報の読み出しと書き換えに及ぶ可能性があり、ジョブ実行基盤であるだけに、業務処理への影響を想定しておく必要があります。
今すぐやること
-
1
導入状況を洗い出す
Manager、Agent、Agent Minimal Editionが入っているサーバーを一覧にし、版を記録します。開発・検証用や、使っていない古い環境も含めます。
-
2
到達範囲の広い環境から優先する
外部ネットワークや広い社内セグメントから届く環境、多数のAgentを束ねるManagerを先に更新の対象に置きます。
-
3
修正版13-50-31へ更新する
まず検証環境で、既存のジョブ定義やスケジュールが通常どおり動くかを確かめます。そのうえで、業務ジョブの実行時間帯を避けて本番へ適用します。更新の順序や再起動の要否は、日立の告知とリリース情報で確認してください。
-
4
日立の告知を確認する
hitachi-sec-2026-139に、版ごとの対応方法と追加の注意が載っているかを見ます。更新後は版が13-50-31以降になっていることを全台で確認します。
すぐ更新できないとき
すぐに更新できない間は、JP1/AJS3が動くサーバーへの通信を、ジョブ運用に必要な接続元だけに絞ります。ファイアウォールやネットワーク分離で、無関係な端末や外部から届かない状態にしておくと、到達できる相手を減らせます。これは一般的な軽減策で、脆弱性そのものを塞ぐものではありません。
背景
JP1/AJS3は、日立のJP1シリーズの中でジョブの自動実行を受け持つ製品です。Managerがジョブの定義とスケジュールを管理し、各サーバーのAgentがその指示を受けて処理を走らせます。バッチ処理や夜間の定時処理を支えることが多く、止まると業務に直接響きます。
スタックベースのバッファオーバーフローは、C言語系のプログラムで古くから知られるメモリ破壊の型です。今回はManagerとAgentの両方が対象のため、管理サーバーだけでなく、業務サーバーに散らばったAgent側の更新漏れが残りやすいところです。
よくある質問
Q.CVSSが9.4で、10ではないのはなぜですか。
Q.ジョブ運用を止めずに更新できますか。
まだ分かっていないこと
- 実際の攻撃での悪用が確認されたかどうかは、現時点で情報が見当たりません。どの通信や機能が脆弱な処理に当たるのか、コード実行まで可能なのかという技術的な詳細も明らかになっていません。最新の状況は日立の告知で確認してください。
- ManagerとAgentの影響範囲について、NVDの説明文は11-00以降としていますが、ベンダー側の版情報は10-00以降です。10系を使っている場合は、日立の告知で対象かどうかを必ず確認してください。
- 更新に伴う再起動の要否や、ManagerとAgentで更新の順序に制約があるかは、公開情報からは分かりません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Hitachi | JP1/Automatic Job Management System 3 - Manager |
10-00 以上 13-50-31 未満 |
13-50-31 |
| Hitachi | JP1/Automatic Job Management System 3 - Agent |
10-00 以上 13-50-31 未満 |
13-50-31 |
| Hitachi | JP1/Automatic Job Management System 3 - Agent Minimal Edition |
11-50 以上 13-50-31 未満 |
13-50-31 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Stack-based Buffer Overflow Vulnerability in JP1/Automatic Job Management System 3.
This issue affects JP1/Automatic Job Management System 3 - Manager: from 11-00 before 13-50-31; JP1/Automatic Job Management System 3 - Agent: from 11-00 before 13-50-31.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web hirt@hitachi.co.jp
- web nvd.nist.gov
- web github.com