HiRDBに認証回避の脆弱性、Version 10は修正版あり
日立のデータベースHiRDB Serverに、認証を偽装でかいくぐられる脆弱性が見つかりました。Version 9と10の広い範囲が対象で、修正版が確認できるのはVersion 10だけです。HiRDBを業務システムの基盤に使っている組織は、まず自社の版を洗い出してください。
急ぎ度: 早めに
CVSS v3は9.8で、ネットワーク経由で認証なしに悪用できる条件ですが、実際の攻撃で悪用された確認は示されておらず、修正版もVersion 10にしかないため、版の洗い出しと到達経路の絞り込みを先に進める段階です。
関係があるか
HiRDB ServerのVersion 9またはVersion 10を、基幹系や業務系のデータ基盤として運用している組織が対象です。アプリケーションの利用者ではなく、データベースサーバーを管理している側が確認する必要があります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| HiRDB Server Version 10 | 10-00以上、10-12-01未満 | 10-12-01 |
| HiRDB Server Version 9 | 09-00以上、09-66-22以下 | 修正版の情報なし |
| HiRDB Server with Additional Function Version 9 | 09-00以上、09-66/V以下 | 修正版の情報なし |
| HiRDB Server Version 9(32) | 09-02以上、09-66-22以下 | 修正版の情報なし |
| HiRDB Server with Additional Function Version 9(32) | 09-00以上、09-66-/V以下 | 修正版の情報なし |
確かめ方
- 1資産台帳や構成管理表で、HiRDBを動かしているサーバーを洗い出し、製品名と版を一覧にします。
- 2各サーバーで導入されているHiRDBの版を、運用手順書に従って確認します。Version 9は09-66-22以下、Version 10は10-12-01より前なら対象です。
- 3Version 9(32)やAdditional Functionの有無も、製品名の表記で見分けます。対象の製品名は上の表と同じ表記です。
- 4自社で直接運用していなくても、パッケージ製品や受託開発のシステムが内部でHiRDBを使っている場合があります。ベンダーや保守担当に問い合わせます。
何が起きたか
HiRDB Serverに、認証を偽装でかいくぐれる脆弱性が見つかりました。悪用されると、本来はログインが必要なデータベースに、正規の利用者になりすまして入り込まれるおそれがあります。
弱点の種類はCWE-290、つまり別の主体になりすますことで認証を回避できる欠陥です。日立は自社の脆弱性情報（hitachi-sec-2026-149）で告知しており、公開日は2026年10月27日です。
対象はVersion 10の10-00以上10-12-01未満と、Version 9の09-00から09-66-22まで、およびその関連製品（Additional Function、32ビット相当の9(32)の各版）です。修正版が確認できるのはVersion 10の10-12-01のみです。
筆者は、Version 9を使い続けている現場ほど対応の負担が重いと見ています。修正版の有無がすぐには分からないためです。
攻撃の流れ
-
1
到達経路を探す
攻撃者が、HiRDBサーバーにネットワーク経由で接続できる経路を見つけます。
-
2
正規になりすます
認証の確認をすり抜けるため、正規の接続元や利用者を装います。
-
3
認証を回避
ログインの資格情報なしで、データベースへの接続が通ってしまいます。
-
4
データに触れる
格納されたデータの閲覧や書き換え、サービスの停止に至るおそれがあります。
どう悪用されるか
ベンダーの評価では、悪用に事前の認証は要らず、利用者の操作も要りません。攻撃者がHiRDBサーバーにネットワーク越しにつながれれば成立し、攻撃の難しさは低いとされています。
データベースの機密性、完全性、可用性のいずれにも大きな影響が出ると評価されています。具体的には、データを読み出される、書き換えられる、サービスを止められる、といった被害です。アプリケーションを経由せず、データベースそのものに直接触れられる点が深刻です。
今すぐやること
-
1
対象の版を洗い出す
HiRDBを使うサーバーを一覧にし、製品名と版を確認します。パッケージ製品に組み込まれている場合は、ベンダーにも問い合わせます。
-
2
日立の告知を確認する
hitachi-sec-2026-149の内容を読み、自社の版と修正版の最新状況を確認します。Version 9については、更新の手段や今後の対応も告知で確かめます。
-
3
Version 10を修正版に更新する
10-12-01より前のVersion 10は、10-12-01以降に更新します。本番へ入れる前に、検証環境で接続と業務処理を確認します。
-
4
Version 9は保守窓口に相談する
修正版が確認できないVersion 9は、日立または保守を担当するベンダーに、対応方針と移行の選択肢を問い合わせます。回答が出るまでは、下の回避策でリスクを下げます。
-
5
接続ログを見直す
身に覚えのない接続元や、通常と違う時間帯のアクセスがないかを、データベースとネットワーク機器のログで確認します。
すぐ更新できないとき
修正版をすぐに当てられないときは、HiRDBサーバーに接続できる範囲を狭めます。アプリケーションサーバーなど、必要な接続元のIPアドレスだけを許可し、インターネットや一般の社内端末から直接つながらないようにします。ファイアウォールやネットワーク機器での制限が現実的です。
これは、ベンダーの告知に回避策が示されているかどうかとは別の、一般的な被害低減策です。修正版や回避策の案内が出ていれば、そちらを優先します。
背景
HiRDBは日立のリレーショナルデータベースです。基幹系や業務系のシステムで、業務データを預かる土台として動いていることが多く、アプリケーションの画面の裏側で、顧客情報や取引データを保持しています。
データベースの認証は、アプリケーションの層よりも奥にある最後の関門です。ここを偽装で通られると、アプリの権限管理や入力チェックを経由せず、データそのものに直接手が届きます。今回の脆弱性が危険度の高い評価を受けているのは、この位置づけによります。
よくある質問
Q.HiRDBを社内ネットワークだけで使っています。急がなくてよいでしょうか。
Q.アプリケーションの利用者として使っているだけでも対応が必要ですか。
まだ分かっていないこと
- Version 9系の修正版の有無と提供時期は、確認できる情報がありません。日立の告知（hitachi-sec-2026-149）で最新の案内を確認してください。
- 認証が回避される具体的な仕組みや、悪用に必要な接続の形は明らかになっていません。実際の攻撃で悪用されているかどうかも分かっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Hitachi | HiRDB Server Version 10 |
10-00 以上 10-12-01 未満 |
10-12-01 |
| Hitachi | HiRDB Server Version 9 |
09-00 〜 09-66-22 |
— |
| Hitachi | HiRDB Server with Additional Function Version 9 |
09-00 〜 09-66/V |
— |
| Hitachi | HiRDB Server Version 9(32) |
09-02 〜 09-66-22 |
— |
| Hitachi | HiRDB Server with Additional Function Version 9(32) |
09-00 〜 09-66-/V |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Authentication Bypass by Spoofing Vulnerability in HiRDB.
This issue affects HiRDB Server Version 10: from 10-00 before 10-12-01; HiRDB Server Version 9: from 09-00 through 09-66-22; HiRDB Server with Additional Function Version 9: from 09-00 through 09-66/V; HiRDB Server Version 9(32): from 09-02 through 09-66-22; HiRDB Server with Additional Function Version 9(32): from 09-00 through 09-66-/V.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web hirt@hitachi.co.jp
- web nvd.nist.gov
- web github.com