JP1/AJS3 Managerに重大な脆弱性、修正版あり
ジョブ管理製品JP1/Automatic Job Management System 3のManagerに、認証なしでネットワークから狙えるバッファオーバーフローの脆弱性が見つかりました。10-00以上13-50-31未満のManagerを使う組織が対象で、修正版は13-50-31です。まず自社のManagerの版を洗い出し、更新の段取りと通信できる範囲の確認を進めてください。
急ぎ度: 早めに
CVSS v3は9.4で認証なしにネットワークから狙える評価ですが、修正版13-50-31がすでに出ています。
関係があるか
JP1/Automatic Job Management System 3のManagerを運用している組織が対象です。夜間バッチや月次処理の制御に使っている情シス部門や基幹システムの運用チームは、一度棚卸しをしてください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| JP1/Automatic Job Management System 3 - Manager | 10-00以上13-50-31未満 | 13-50-31 |
確かめ方
- 1JP1/AJS3のManagerが入っているサーバーを一覧にし、インストールされている版を確認します。Windowsなら「プログラムと機能」、UNIX系なら製品の版を示すファイルやパッケージ情報で確かめられます。
- 2版が10-00以上13-50-31未満なら対象です。複数の環境（本番、検証、災害対策用など）に分かれていることが多いので、すべて見てください。
- 3Manager以外のコンポーネントが対象かどうかは、日立のセキュリティ情報（hitachi-sec-2026-142）で確認してください。
何が起きたか
JP1/Automatic Job Management System 3のManagerに、スタックベースのバッファオーバーフローの脆弱性があります。プログラムが確保したメモリ領域を超えてデータを書き込んでしまう種類の不具合です。
悪用されると、Managerが扱う情報の読み取りと書き換えが起き、サービスの可用性にも低い影響が出るとCVSSでは評価されています。ジョブの定義や実行指示を握るサーバーなので、影響は単体のサーバーにとどまりません。
日立が2026年10月27日にセキュリティ情報を公表し、13-50-31で修正されました。CWEの分類はCWE-121です。
攻撃の流れ
-
1
Managerに到達
攻撃者がManagerの待ち受けるネットワークの口に通信できる位置を得ます。
-
2
不正な通信
認証なしで、想定外の内容の通信をManagerに送ります。
-
3
メモリ破壊
スタック領域を超えた書き込みが起き、Managerの動作が乱れます。
-
4
情報の漏えい・改ざん
ジョブ関連の情報が読まれたり書き換えられたりし、サービスにも影響が出ます。
どう悪用されるか
認証は要りません。攻撃元はネットワーク経由で、利用者の操作も不要です。CVSSの攻撃条件の複雑さも低と評価されているため、Managerに通信が届けば、特別な準備なしに狙える脆弱性とみられます。
被害は、情報の読み取りと書き換えが高、可用性が低という評価です。ジョブの定義やスケジュールが書き換えられれば、業務処理の結果そのものが変わりかねません。
今すぐやること
-
1
対象のManagerを洗い出す
本番・検証・災害対策の環境を含め、JP1/AJS3 Managerの版を一覧にします。10-00以上13-50-31未満が更新の対象です。
-
2
13-50-31へ更新する
日立のセキュリティ情報に従って、修正版に更新します。ジョブの実行時間帯を避けた停止枠を確保し、まず検証環境で動作を見てから本番に進めると安全です。
-
3
Managerに届く通信の範囲を確認する
ファイアウォールやセグメント設定を見直し、Managerにアクセスできる機器が、ジョブを実行するサーバーや運用端末に限られているかを確かめます。インターネット側から届く構成なら、更新より先に遮断してください。
-
4
更新後に版とジョブの動作を確認する
版が13-50-31以上になったことを確かめ、定期ジョブが予定どおり動くかを次の実行サイクルまで見守ります。
すぐ更新できないとき
更新までの間は、Managerと通信できる機器をファイアウォールなどで必要最小限に絞ってください。ベンダーが個別の回避策を案内しているかは、日立のセキュリティ情報で確認してください。
背景
JP1/Automatic Job Management System 3は、日立のジョブ管理製品です。夜間バッチ、月次の締め処理、システム間のデータ連携といった業務処理を、決めた順序と時刻で自動実行します。Managerはその中枢で、ジョブの定義とスケジュールを持ち、各サーバーに実行を指示する役割です。
Managerが止まれば処理全体が止まり、定義が書き換われば本来とは違う処理が走ります。今回のスタックベースのバッファオーバーフローは、入力の大きさの検査が足りないときに起きる古くからある種類で、認証前の通信を受け付ける部分に残ると影響が大きくなります。基幹システムの裏側で動く製品なので、普段は意識されにくく、版の棚卸しが抜けやすいことにも注意が要ります。
よくある質問
Q.Managerを社内ネットワークでしか使っていない場合も、急ぐ必要がありますか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかは、公表されていません。
- 任意のコードを実行できるところまで至るかや、具体的な悪用の経路は、公表されていません。
- Manager以外のコンポーネント、10-00より前の版、旧版向けの修正や回避策の有無は、日立のセキュリティ情報（hitachi-sec-2026-142）で最新の案内を確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Hitachi | JP1/Automatic Job Management System 3 - Manager |
10-00 以上 13-50-31 未満 |
13-50-31 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Stack-based Buffer Overflow Vulnerability in JP1/Automatic Job Management System 3.
This issue affects JP1/Automatic Job Management System 3 - Manager: from 10-00 before 13-50-31.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web hirt@hitachi.co.jp
- web nvd.nist.gov
- web github.com