JP1/AJS3 Managerに重大な脆弱性、13-50-31で修正
JP1/Automatic Job Management System 3のManagerに、認証なしでネットワーク越しに突かれうるバッファオーバーフローの脆弱性が見つかりました。Managerを運用している組織が対象で、日立は13-50-31を修正版として案内しています。まず自社のManagerの版を洗い出し、業務の空き時間に合わせて更新を計画してください。
急ぎ度: 早めに
CVSS v3は9.4で認証不要のネットワーク経由という条件が重く、修正版13-50-31も出ていますが、実際の悪用はいまのところ確認されていません。
関係があるか
JP1/Automatic Job Management System 3のManagerを自社内やクラウド上のサーバーで動かしている組織が対象です。夜間バッチや業務システム間のジョブ連携をこの製品で管理している企業は、Managerがどこにあるかを先に確認してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| JP1/Automatic Job Management System 3 - Manager | 脆弱性の説明では10-00以上、13-50-31より前。同じ脆弱性のパッケージ情報では13-10以上、13-50-31より前 | 13-50-31 |
確かめ方
- 1社内の資産台帳や構成管理表で、JP1/Automatic Job Management System 3のManagerを入れているサーバーを洗い出す。
- 2各Managerの版を製品の版情報で確認し、13-50-31より前なら対象とみなす。
- 3下限の版は10-00と13-10で資料の記載が分かれているため、13-10より前の版を使っている場合は、日立のセキュリティ情報（hitachi-sec-2026-141）で対象かどうかを確認する。
- 4Manager以外の構成要素が対象に含まれるかも、同じ告知で確認する。
何が起きたか
JP1/Automatic Job Management System 3のManagerに、スタックベースのバッファオーバーフローの脆弱性があります。想定外のデータを受け取った際にメモリ上の領域があふれ、Managerの情報が読まれたり書き換えられたりするおそれがあります。サービスの可用性への影響は小さいと評価されています。
脆弱性の種類はCWE-121で、CVSS v3は9.4、重要度はcriticalです。2026年10月27日に公開され、日立はManagerの13-50-31で修正したと案内しています。
攻撃の流れ
-
1
Managerへ到達
攻撃者がネットワーク経由でManagerのサービスに接続できる状態になります。
-
2
想定外のデータ送信
Managerが想定していない形のデータを送り込みます。
-
3
メモリ領域があふれる
Managerの処理中に、スタック上の領域があふれます。
-
4
情報の読取・改ざん
Manager上の情報が読み取られたり、書き換えられたりするおそれがあります。
どう悪用されるか
攻撃にログインは要りません。Managerにネットワークで到達できれば、利用者の操作がなくても成立します。攻撃の複雑さは低いと評価されており、特別な条件を整える必要はほとんどありません。
被害は、Manager上の情報の漏えいと改ざんが中心で、評価は機密性と完全性が高、可用性が低です。影響はManagerが持つ権限の範囲にとどまる評価ですが、Managerはジョブの定義と実行を握る役割なので、書き換えられた場合の業務への波及は小さくないと筆者は考えています。
今すぐやること
-
1
Managerの所在と版を洗い出す
本番・検証・災害対策用を含め、Managerを動かしているサーバーを一覧にして、版を記録します。
-
2
修正版13-50-31以降へ更新する
日立の告知で更新手順と注意点を確認し、検証環境でジョブの動作を見たうえで、バッチの空き時間に本番へ適用します。
-
3
Managerへの接続元を絞る
更新までのあいだ、Managerのサーバーに届く通信を、運用に必要なホストと管理端末だけに限っているかを確認します。
-
4
更新後に版を再確認する
すべてのManagerが13-50-31以降になったことを確認し、台帳に反映します。
すぐ更新できないとき
日立が個別の回避策を示しているかは、告知で確認してください。一般的な措置としては、ファイアウォールやセグメント分離で、Managerに接続できる送信元を必要なホストだけに限る方法があります。攻撃を受ける経路は狭められますが、脆弱性そのものは残るため、修正版への更新までの暫定措置と考えてください。
背景
JP1/Automatic Job Management System 3は、夜間バッチや月次処理など、複数のサーバーにまたがる業務ジョブの実行順序と時刻を管理するジョブ管理製品です。Managerは、ジョブの定義や実行計画を保持し、各サーバーに実行を指示する中枢にあたります。止まれば業務全体の処理が止まり、中身が書き換えられれば意図しない処理が走るため、利用部門からは見えにくくても影響の大きい基盤です。
スタックベースのバッファオーバーフローは、受け取ったデータの長さの検査が不十分なために、スタックと呼ばれるメモリ領域があふれる種類の脆弱性です。ネットワークからデータを受け付けるサービスに含まれていると、外部から届く入力がそのまま攻撃経路になります。今回の脆弱性もManagerがネットワークで受け付ける処理に関わるとみられますが、具体的な箇所は明らかにされていません。
よくある質問
Q.ManagerではなくAgentだけを入れているサーバーも更新が必要ですか。
まだ分かっていないこと
- 実際の攻撃に悪用されたかどうかや、攻撃コードが公開されているかは、まだ明らかにされていません。
- 脆弱性がManagerのどの機能や通信ポートにあるのかは、公開されていません。
- 下限の版が10-00と13-10で資料により異なる点を含め、正確な対象範囲は日立の告知（hitachi-sec-2026-141）を確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Hitachi | JP1/Automatic Job Management System 3 - Manager |
13-10 以上 13-50-31 未満 |
13-50-31 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Stack-based Buffer Overflow Vulnerability in JP1/Automatic Job Management System 3.
This issue affects JP1/Automatic Job Management System 3 - Manager: from 10-00 before 13-50-31.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web hirt@hitachi.co.jp
- web nvd.nist.gov
- web github.com