JP1/AJS3に重大な脆弱性、修正版13-50-31が公開
ジョブ管理製品JP1/Automatic Job Management System 3のManagerとAgentに、ネットワーク経由で悪用されうるヒープバッファオーバーフローの脆弱性が見つかりました。11-00以降13-50-31未満を使っている組織が対象で、修正版は13-50-31です。まず自社の版を洗い出し、更新の段取りを組んでください。
急ぎ度: 早めに
CVSS v3は9.8で、認証も利用者の操作も不要なネットワーク経由の攻撃が想定され、修正版13-50-31がすでに出ているためです。
関係があるか
JP1/Automatic Job Management System 3のManagerまたはAgentを、11-00以降13-50-31未満の版で運用している組織が対象です。ジョブの実行を担うAgentだけを入れたサーバーも含まれます。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| JP1/Automatic Job Management System 3 - Manager | 11-00以上、13-50-31未満 | 13-50-31 |
| JP1/Automatic Job Management System 3 - Agent | 11-00以上、13-50-31未満 | 13-50-31 |
確かめ方
- 1資産台帳や構成管理の記録で、JP1/Automatic Job Management System 3を導入しているサーバーを洗い出す。
- 2各サーバーで、ManagerとAgentのどちらが入っているか、版が13-50-31より前かどうかを確認する。
- 3ベンダーのメンテナンス窓口や運用委託先が管理しているサーバーも、台帳に漏れがないか照らし合わせる。
何が起きたか
JP1/Automatic Job Management System 3のManagerとAgentに、ヒープバッファオーバーフローの脆弱性があります。悪用されると、機密情報の漏えい、データの改ざん、サービスの停止のいずれも起こりうると評価されています。
日立が告知しており、識別子はCVE-2026-76939です。弱点の種類はCWE-122で、確保したメモリ領域の外へ書き込んでしまう不具合にあたります。メモリが壊れた結果として、プロセスの異常終了だけでなく、処理の流れを乗っ取られる恐れもあります。
ManagerとAgentは同じ版の範囲が対象で、11-00以降13-50-31未満が該当します。修正版は13-50-31です。
攻撃の流れ
-
1
ネットワーク到達
攻撃者が、JP1/AJS3の対象サーバーに通信できる位置を確保します。
-
2
不正な通信
認証を経ずに、対象の処理へ想定外のデータを送ります。
-
3
メモリ破壊
確保された領域を超えた書き込みが起き、ヒープのメモリが壊れます。
-
4
影響の発生
情報の漏えいや改ざん、サービスの停止につながる恐れがあります。
どう悪用されるか
CVSSのベクトルからは、攻撃元がネットワーク上にあり、攻撃の複雑さは低く、事前の認証も利用者の操作も要らないことが読み取れます。対象の通信を受け付けるサーバーに到達できれば、正規の利用者でなくても攻撃を試みられる想定です。
成功した場合の被害は、機密性、完全性、可用性のすべてで高と評価されています。ジョブの定義や実行結果の読み取り、書き換え、ジョブ基盤そのものの停止を、最悪の場合として見込んでおく必要があります。
今すぐやること
-
1
対象サーバーの洗い出し
ManagerとAgentの両方について、導入先と版を一覧にします。外部委託や関連会社の環境も含めて確認してください。
-
2
修正版13-50-31への更新計画
業務への影響を考え、夜間バッチの空き時間や保守枠を押さえます。まずネットワークから到達しやすい環境と、Managerを優先すると効率的です。
-
3
修正版に更新する
日立の告知に従い、対象の版を修正版へ更新します。更新後に版を再確認し、ジョブが通常どおり動くことを確かめます。
-
4
ネットワーク経路の見直し
更新が終わるまで、対象サーバーへ通信できる範囲を洗い出します。不要な経路があれば、運用に支障のない範囲で絞ります。
すぐ更新できないとき
すぐに更新できない場合は、ファイアウォールなどで、対象サーバーへ通信できる送信元を運用上必要なサーバーや管理端末だけに限ります。インターネットや、利用者向けの広いネットワークから到達できる状態は避けてください。これは一時的な緩和策であり、脆弱性そのものはなくならないため、修正版への更新は必要です。
背景
JP1/Automatic Job Management System 3は、夜間バッチや月次処理など、業務システムの定期的なジョブを順序どおりに実行する製品です。Managerがジョブの定義やスケジュールを管理し、各サーバーに置いたAgentが実際の処理を受け持ちます。基幹システム、会計、データ連携の裏側で動いていることが多く、利用者の目には触れにくい存在です。
そのため、画面を使わない運用であっても、サーバーが社内のネットワークで広く通信できる設計になっていることがあります。今回のようにネットワーク経由で悪用できる種類のメモリ破壊の脆弱性は、通信を受け付けるサーバーの構成によって、実際の危険度が大きく変わります。
よくある質問
Q.11-00より前の版を使っている場合は安全ですか。
まだ分かっていないこと
- 実際の攻撃での悪用が確認されているかどうか、悪用コードが出回っているかどうか。
- 脆弱性が存在する具体的な機能や、通信に使われるポートの情報。
- 更新時にジョブの停止や再起動が必要かどうか、更新以外の恒久的な回避策があるかどうか。最新の情報は日立のセキュリティ情報（hitachi-sec-2026-143）で確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Hitachi | JP1/Automatic Job Management System 3 - Manager |
11-00 以上 13-50-31 未満 |
13-50-31 |
| Hitachi | JP1/Automatic Job Management System 3 - Agent |
11-00 以上 13-50-31 未満 |
13-50-31 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Heap-based Buffer Overflow Vulnerability in JP1/Automatic Job Management System 3.
This issue affects JP1/Automatic Job Management System 3 - Manager: from 11-00 before 13-50-31; JP1/Automatic Job Management System 3 - Agent: from 11-00 before 13-50-31.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web hirt@hitachi.co.jp
- web nvd.nist.gov
- web github.com