JP1/AJS3 Managerに認証回避の脆弱性、修正版13-50-31
日立のジョブ管理製品JP1/Automatic Job Management System 3のManagerに、ログインなしで認証を回避される脆弱性が見つかりました。10-00以上13-50-31未満のManagerを使っている組織が対象で、修正版は13-50-31です。まず自社のManagerの版と、通信できる範囲を洗い出してください。
急ぎ度: 早めに
CVSS v3が9.8でネットワーク越しに認証なしで悪用でき、修正版13-50-31が出ているため、実際の悪用の報告は確認できていないものの、早めの更新が妥当です。
関係があるか
JP1/Automatic Job Management System 3のManagerを自社のサーバーで動かしている組織が対象です。夜間バッチや業務の自動実行にJP1/AJS3を使っている情報システム部門は、まず自社の版を確認してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| JP1/Automatic Job Management System 3 - Manager | 10-00以上、13-50-31未満 | 13-50-31 |
確かめ方
- 1資産管理台帳やサーバーの構成情報で、JP1/Automatic Job Management System 3 - Managerが入っているサーバーを洗い出します。
- 2各サーバーのインストール済みソフトウェアの一覧、または製品の版情報で、Managerの版が10-00以上13-50-31未満に当たるかを確認します。
- 3Managerとエージェントを同じ台帳で管理している場合は、Managerの役割を持つホストだけを抜き出して確認します。
何が起きたか
JP1/Automatic Job Management System 3（以下JP1/AJS3）のManagerに、認証を回避できてしまう脆弱性があります。悪用されると、ログインしていない第三者が、本来は認証が必要な操作に到達するおそれがあります。
日立は2026年10月27日に、セキュリティ情報hitachi-sec-2026-142としてこの脆弱性を公表しました。分類はCWE-290で、なりすましによる認証回避にあたります。CVSS v3は9.8で、重大度はcriticalです。
公表されている説明は短く、認証のどの段階でどう回避されるのかといった技術的な細部は書かれていません。
攻撃の流れ
-
1
Managerに到達
攻撃者がネットワーク経由でJP1/AJS3のManagerと通信できる位置にいます。
-
2
認証を回避
ログインの資格情報を持たないまま、認証を通過した扱いになります。
-
3
Managerの機能へ
認証済みの利用者だけが使える操作に到達します。
-
4
業務への影響
情報の漏えい、設定やジョブの改ざん、業務の停止が想定されます。
どう悪用されるか
攻撃にはログインの資格情報が要らず、利用者が何かを操作する必要もありません。ネットワーク経由で届き、複雑な条件も不要と評価されています。したがって、Managerと通信できる端末があれば、社内からでも外部からでも条件は変わりません。
CVSSでは、機密性・完全性・可用性のすべてに高い影響があるとされています。ジョブの情報が読まれる、定義や設定が書き換えられる、処理が止まるといった被害が想定されます。具体的にどの操作ができるかまでは示されていません。
今すぐやること
-
1
対象のManagerを洗い出す
JP1/AJS3のManagerがどのサーバーにあり、どの版かを一覧にします。検証環境やDR用の待機系も忘れずに含めます。
-
2
通信できる範囲を確認する
Managerに到達できるネットワークと端末を、ファイアウォールやアクセス制御の設定から確認します。インターネットや広い社内セグメントから届く場合は、更新の順番を最優先にします。
-
3
修正版13-50-31以降に更新する
検証環境でジョブの実行や定義の互換性を確かめたうえで、本番のManagerを更新します。更新の手順と前提条件は、日立のセキュリティ情報hitachi-sec-2026-142と製品の案内で確認してください。
-
4
不審なアクセスの形跡を調べる
更新の前後で、Managerへの想定外の接続元、心当たりのないジョブ定義の変更や実行がないか、ログを見直します。
すぐ更新できないとき
ベンダーが示した回避策は確認できていません。更新まで時間がかかる場合の一般的な緩和策として、Managerへの通信を、ジョブの実行に必要なサーバーと運用端末だけに限定します。インターネット側から直接届く経路があれば遮断してください。ただし、これは悪用の可能性を下げるだけで、脆弱性そのものは直りません。
背景
JP1/AJS3は、夜間の締め処理やデータ連携といったバッチ処理を、決めた順序と時刻で自動実行するジョブ管理製品です。Managerはその中心で、ジョブの定義や実行計画を持ち、複数のサーバーへ処理を指示する位置にあります。認証が破られた場合の影響は、個々の業務アプリケーションより広がりやすいと考えられます。
今回の対象は10-00から13-50-30までと幅広い範囲です。ジョブ管理基盤は一度構築すると長く使われやすいため、古い版のまま動いているManagerが残っている組織も多いのではないでしょうか。更新の際は、ジョブの定義や運用スクリプトとの互換性を検証する時間も見込んでおくと安心です。
よくある質問
Q.エージェントだけが入っているサーバーも対象ですか。
Q.社内ネットワークだけで使っているManagerでも、急ぐ必要はありますか。
まだ分かっていないこと
- 実際の攻撃での悪用や、攻撃コードの公開があるかどうかは公表されていません。
- 認証を回避できる具体的な条件や、使われる機能、有効な回避策は公表されていません。日立のセキュリティ情報hitachi-sec-2026-142で更新の有無を確認してください。
- 10-00より古い版と、エージェントのみの環境が影響を受けるかどうかは分かっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Hitachi | JP1/Automatic Job Management System 3 - Manager |
10-00 以上 13-50-31 未満 |
13-50-31 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Authentication Bypass Vulnerability in JP1/Automatic Job Management System 3.
This issue affects JP1/Automatic Job Management System 3 - Manager: from 10-00 before 13-50-31.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web hirt@hitachi.co.jp
- web nvd.nist.gov
- web github.com