JP1/AJS3 Managerに重大な脆弱性、修正版13-50-31あり
日立のジョブ管理製品JP1/Automatic Job Management System 3のManagerに、ネットワーク経由で認証なしに突かれうるメモリ破壊の脆弱性が見つかりました。Managerを運用している組織は、版を確認して修正版に更新し、更新までのあいだはManagerへの通信経路を絞ってください。
急ぎ度: 早めに
CVSS v3は9.4で、認証なしにネットワーク経由で悪用できる条件が付いており、修正版が出ているため、計画的な更新を待たずに着手する価値があります。
関係があるか
JP1/Automatic Job Management System 3（以下JP1/AJS3）のManagerを自社のサーバーで動かしている組織が対象です。夜間バッチや月次処理をJP1/AJS3で回している環境、とくにManagerに社内の広い範囲から通信が届く環境は優先して確認してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| JP1/Automatic Job Management System 3 - Manager | 10-00以上、13-50-31未満 | 13-50-31 |
確かめ方
- 1資産管理台帳や構成管理表で、JP1/AJS3のManagerを入れているサーバーを洗い出します。
- 2各サーバーでManagerの版を調べ、10-00以上13-50-31未満に当たるかを照らし合わせます。版の確認方法は製品のマニュアルか、日立のセキュリティ情報（hitachi-sec-2026-142）を参照してください。
- 3Agentだけを入れているサーバーは、公表された影響範囲にManagerとしか書かれていません。ただし、同じ版の組み合わせで運用している場合は、更新手順をベンダーの告知で確かめてください。
何が起きたか
JP1/AJS3のManagerに、ヒープ領域のバッファオーバーフローという種類のメモリ破壊の脆弱性が見つかりました。悪用されると、Manager上の情報が読み取られたり書き換えられたりするおそれがあり、サービスの可用性にも影響が及びえます。
日立が10月27日にセキュリティ情報を出し、CWEではCWE-122に分類されています。CVSS v3は9.4で、深刻度はcriticalです。
日立は、Managerの13-50-31で修正したとしています。
攻撃の流れ
-
1
Managerへ到達
攻撃者がManagerの待ち受ける通信先にネットワークからつなげる状態になります。
-
2
不正なデータ送信
Managerが想定しない形のデータを送り、処理中のメモリ領域があふれる状態を引き起こします。
-
3
メモリ破壊
ヒープ領域の内容が壊れ、Managerの動作が攻撃者の意図に左右されます。
-
4
情報と業務への影響
情報の読み取りや書き換え、一部の稼働への影響につながるおそれがあります。
どう悪用されるか
CVSSのベクターによると、攻撃者に必要なのはManagerへのネットワーク到達性だけです。ログインなどの認証は要らず、攻撃の複雑さは低く、管理者や利用者が何かを操作する必要もありません。
被害の大きさは、機密性と完全性への影響が高、可用性への影響が低と評価されています。Manager上のジョブ定義や設定、保存されている情報が読まれたり書き換えられたりする場合、各サーバーへのジョブ実行にも波及しかねません。9.4で満点に届かないのは、可用性への影響が低に置かれているためです。
今すぐやること
-
1
対象のManagerを洗い出す
JP1/AJS3のManagerが動いているサーバーを一覧にし、版を確認します。開発用や待機系、使っていない古い環境が残っていないかも見ます。
-
2
修正版へ更新する計画を立てる
修正版に更新します。ジョブの実行時間帯を避けた作業枠を確保し、更新前にジョブ定義や設定のバックアップを取ります。可能なら検証環境で先に更新して動作を確かめます。
-
3
Managerへの到達経路を確認する
Managerにつなげる送信元を洗い出し、Agentや管理端末など必要なものに限られているかを確認します。インターネット側や広い社内セグメントから届く場合は、更新を最優先にしてください。
-
4
更新前の期間のログを見直す
更新前から、Managerへの不審な接続や、Managerの異常終了や再起動がないかをOSとネットワーク機器のログで確認します。
すぐ更新できないとき
すぐに更新できない場合は、ファイアウォールなどでManagerへの通信を、Agentと管理用端末の信頼できるアドレスだけに限定します。回避策の有無や具体的な内容は、日立のセキュリティ情報で確認してください。
背景
JP1/AJS3は、業務システムのバッチ処理を決まった順序と時刻で自動実行するためのジョブ管理製品です。Managerはその中枢で、ジョブの定義と実行計画を持ち、各サーバーのAgentに実行を指示します。夜間の基幹バッチや月次の締め処理がここを通る組織では、Managerが止まる、または意図しない定義に書き換えられると、業務の連鎖にそのまま響きます。
ヒープバッファオーバーフローは、確保したメモリ領域を超えてデータが書き込まれる種類の不具合です。ネットワークからのデータを受け付けるサービスで起きると、ログインの前に影響が出ることがあります。今回の評価も、認証不要という条件で付けられています。ジョブを動かす権限を持つManagerは、社内のほかのサーバーに指示を出せる立場でもあります。
よくある質問
Q.Agentだけを入れているサーバーも更新が必要ですか。
まだ分かっていないこと
- 実際の攻撃での悪用や、攻撃コードの公開があるかどうかは分かっていません。KEVへの掲載やEPSSなどの指標も確認したうえで、更新の優先度を判断してください。
- 脆弱性が突かれる通信の入り口（待ち受けるサービスや通信の種類）と、メモリ破壊が任意のコード実行まで至るかどうかは、詳しく書かれていません。
- 対象OSごとの違いや、13-50-31より前の系列に別の修正版があるかどうか、10-00より前の版の扱いは、公表された情報だけでは判断できません。日立のセキュリティ情報（hitachi-sec-2026-142）で確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Hitachi | JP1/Automatic Job Management System 3 - Manager |
10-00 以上 13-50-31 未満 |
13-50-31 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Heap-based Buffer Overflow Vulnerability in JP1/Automatic Job Management System 3.
This issue affects JP1/Automatic Job Management System 3 - Manager: from 10-00 before 13-50-31.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web hirt@hitachi.co.jp
- web nvd.nist.gov
- web github.com