JP1/AJS3に重大な脆弱性、13-50-31の修正版あり
ジョブ管理基盤のJP1/Automatic Job Management System 3（JP1/AJS3）に、認証なしでネットワーク経由の攻撃を受けるおそれがあるスタックバッファオーバーフローの脆弱性が見つかりました。Manager、Agent、Agent Minimal Editionを使っている企業が対象で、修正版は13-50-31です。まず自社のどのサーバーに入っているかを洗い出し、順に更新してください。
急ぎ度: 早めに
CVSS v3が9.8で、認証も利用者の操作も要らずネットワークから攻撃できる条件ですが、実際の攻撃での悪用は確認されておらず、修正版は公開済みです。
関係があるか
JP1/AJS3のManager、Agent、Agent Minimal Editionのいずれかを、13-50-31より前の版で動かしている組織が対象です。Agentは業務サーバーごとに入れていることが多く、気づかないまま古い版が残りやすい点に注意が必要です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| JP1/Automatic Job Management System 3 - Manager | 10-00以上13-50-31未満（説明文では11-00以上13-50-31未満と書かれており、下限が食い違っています） | 13-50-31 |
| JP1/Automatic Job Management System 3 - Agent | 10-00以上13-50-31未満（説明文では11-00以上13-50-31未満と書かれており、下限が食い違っています） | 13-50-31 |
| JP1/Automatic Job Management System 3 - Agent Minimal Edition | 11-50以上13-50-31未満 | 13-50-31 |
確かめ方
- 1JP1/AJS3を入れているサーバーを一覧にします。Managerだけでなく、各業務サーバーのAgentとAgent Minimal Editionも含めます。
- 2それぞれのサーバーで、導入済みの製品名と版を確認します。13-50-31より前なら対象です。
- 3下限が10-00か11-00かは情報源で食い違うため、10-00以上の版はすべて対象として扱います。確定はHitachiの告知（hitachi-sec-2026-140）で確認してください。
何が起きたか
JP1/AJS3のManagerとAgentに、スタック上のバッファ領域があふれる脆弱性があります。悪用されると、情報の漏えい、データの改ざん、サービスの停止のいずれも起こり得ます。
Hitachiが2026年10月27日に告知し、13-50-31で修正されました。弱点の分類はCWE-121（スタックベースのバッファオーバーフロー）で、深刻度は重大です。
なお、ベンダーの説明文に挙がっているのはManagerとAgentですが、修正版の一覧にはAgent Minimal Editionも入っています。同じ13-50-31への更新で解消します。
攻撃の流れ
-
1
到達できる位置
攻撃者が、JP1/AJS3が待ち受けているサーバーへネットワーク経由で通信できる状態になります。
-
2
不正な通信を送信
認証を経ずに、製品の想定外のデータを送りつけます。
-
3
メモリー領域があふれる
受け取ったデータがスタック上の領域を超えて書き込まれます。
-
4
機密性・完全性・可用性に影響
情報の読み取り、書き換え、サービス停止が起こり得ます。
どう悪用されるか
CVSSのベクターによると、攻撃はネットワーク経由で、特別な準備を要さず（攻撃条件の複雑さは低）、ログインなしで行えます。利用者がファイルを開くなどの操作も要りません。つまり、対象サーバーに通信が届く位置にいる相手なら、条件を満たします。
被害は、機密性・完全性・可用性のすべてで「高」と評価されています。ジョブ管理の基盤が止まる、ジョブの定義や実行内容を書き換えられる、サーバー内の情報を読まれるといった事態が想定されます。影響の範囲は、攻撃を受けたサーバーの内部にとどまる評価です。
今すぐやること
-
1
対象サーバーを洗い出す
Manager、Agent、Agent Minimal Editionを入れているサーバーと版を一覧にします。台帳に載っていないAgentがないか、各サーバーでも確認してください。
-
2
13-50-31の修正版に更新する
入手方法と手順はHitachiの告知に従います。広いネットワークから通信が届くサーバーや、多くの業務サーバーとつながるManagerを先に更新すると、被害が広がる範囲を抑えられます。
-
3
更新後の版を確認する
更新したサーバーで、版が13-50-31以降になっているかを確認します。ジョブが通常どおり動くかも、業務の切れ目に確認しておきます。
-
4
通信が届く範囲を見直す
更新の完了前でも、JP1/AJS3のサーバーへ通信できる端末やセグメントが必要最小限かを、ファイアウォールの設定で確認します。
すぐ更新できないとき
ベンダーの回避策は、ここでは確認できていません。更新までのつなぎとして一般的にできるのは、JP1/AJS3が使う通信を、ManagerとAgentの間など必要なホストだけに絞ることです。ただし、これは脆弱性そのものを直す対策ではありません。更新までの期間を短くする手当てとして考えてください。
背景
JP1/AJS3は、夜間バッチや月次処理など、業務システムのジョブを決まった順序と時刻で自動実行する製品です。Managerがジョブの定義と実行を統括し、各業務サーバーに置いたAgentが実際にジョブを動かします。止まれば基幹業務の締め処理に響き、書き換えられれば、各サーバーで実行されるジョブの中身にも影響します。
バッファオーバーフローは、受け取ったデータが確保した領域を超えて書き込まれることで起こる、メモリー安全性の脆弱性です。今回はスタック上の領域が対象で、CVSSも9.8と最高水準に近い評価です。ネットワークの待ち受けを担う部分に見つかると、認証の手前で影響が出やすく、評価が高くなる傾向があります。今回も認証が要らない条件で、この評価になっています。
よくある質問
Q.社内ネットワークでしか使っていなくても、更新は必要ですか。
Q.Agentしか入れていないサーバーも更新が必要ですか。
まだ分かっていないこと
- 実際の攻撃での悪用が確認されているかは、現時点で分かっていません。Hitachiの告知とKEVの登録状況を、更新の前後で確認してください。
- どの機能や通信が脆弱性の入口になるのかは、公表されていません。待ち受けポートを個別に絞る際の目安が欲しいときは、Hitachiの告知かサポート窓口に問い合わせてください。
- 影響を受ける最も古い版が10-00なのか11-00なのかは、情報源によって食い違っています。Hitachiの告知の記載で確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Hitachi | JP1/Automatic Job Management System 3 - Manager |
10-00 以上 13-50-31 未満 |
13-50-31 |
| Hitachi | JP1/Automatic Job Management System 3 - Agent |
10-00 以上 13-50-31 未満 |
13-50-31 |
| Hitachi | JP1/Automatic Job Management System 3 - Agent Minimal Edition |
11-50 以上 13-50-31 未満 |
13-50-31 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Stack-based Buffer Overflow Vulnerability in JP1/Automatic Job Management System 3.
This issue affects JP1/Automatic Job Management System 3 - Manager: from 11-00 before 13-50-31; JP1/Automatic Job Management System 3 - Agent: from 11-00 before 13-50-31.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web hirt@hitachi.co.jp
- web nvd.nist.gov
- web github.com