HiRDB Serverに重大な脆弱性、Version 10は修正版あり
日立のデータベース製品HiRDB Serverに、ネットワーク越しに悪用されうるバッファーオーバーフローの脆弱性が見つかりました。Version 9と10の広い範囲が対象で、基幹系でHiRDBを使っている組織は版の確認が先決です。Version 10は10-12-01で修正され、Version 9系は日立の告知で対応を確認してください。
急ぎ度: 早めに
CVSS v3が9.8で、認証なしにネットワークから届く条件のため優先度は高い一方、実際の悪用を示す情報は見当たらず、修正版が出ているのはVersion 10だけです。
関係があるか
HiRDB Serverを自社のシステムで運用している組織が対象です。Version 9系（32ビット版と追加機能付きを含む）とVersion 10の10-12-01より前が該当し、ほかのHiRDB製品の扱いは告知に記載がありません。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| HiRDB Server Version 10 | 10-00以上、10-12-01未満 | 10-12-01 |
| HiRDB Server Version 9 | 09-00から09-66-22まで | 日立の告知で確認してください |
| HiRDB Server with Additional Function Version 9 | 09-00から09-66/Vまで | 日立の告知で確認してください |
| HiRDB Server Version 9(32) | 09-02から09-66-22まで | 日立の告知で確認してください |
| HiRDB Server with Additional Function Version 9(32) | 09-00から09-66-/Vまで | 日立の告知で確認してください |
確かめ方
- 1資産管理台帳やサーバー構築書で、HiRDB Serverを使っているサーバーを洗い出します。
- 2各サーバーにインストールされているHiRDBの製品名と版を確認し、上の表の範囲に入るかを照らします。32ビット版や追加機能付きは別の製品として列挙されているため、自社の表記と合わせて見てください。
- 3運用や保守を委託している場合は、委託先にも版を確認します。業務パッケージの内部でHiRDBが動いていることもあるため、パッケージ側の構成資料も見ます。
何が起きたか
データベースサーバーのHiRDB Serverに、スタック領域のバッファーオーバーフローを起こす脆弱性が見つかりました。悪用されると、データの漏えいや改ざん、サービス停止のいずれにも高い影響が出るとCVSSでは評価されています。
分類はCWE-121で、CVSS v3は9.8です。日立が2026年10月27日前後にセキュリティ情報（hitachi-sec-2026-147）として公開しました。
データベースサーバーは社外から直接見えない構成が多いため、いますぐ広く攻撃される状況ではないと筆者はみています。ただ、社内ネットワークや取引先との接続から届く場合は、後回しにしにくい脆弱性です。
攻撃の流れ
-
1
到達できる位置
HiRDB Serverが受け付けるネットワークに、攻撃者の通信が届く状態になります。
-
2
不正な通信の送信
ログインや利用者の操作を経ずに、サーバーへ細工された通信が送られます。
-
3
メモリー領域の破壊
処理の途中でスタック上のバッファーがあふれ、メモリーの内容が壊れます。
-
4
データと稼働への影響
データの漏えい・改ざん、またはデータベースの停止につながるおそれがあります。
どう悪用されるか
悪用に認証は要りません。ネットワーク経由で攻撃でき、複雑な条件や利用者の操作も不要とされています。HiRDB Serverに通信が届く位置にいれば成り立つため、社内の別の端末が侵入されたあとの足がかりにもなりえます。
悪用された場合、データベースに入っている情報の読み出し、書き換え、サービスの停止が想定されます。受発注や会計など、HiRDBの上で動く業務がそのまま止まる点に注意が必要です。
今すぐやること
-
1
対象サーバーと版を特定する
HiRDB Serverが動いているサーバーを洗い出し、版が影響範囲に入るかを確認します。本番だけでなく、検証環境や旧システムの残存機も含めます。
-
2
Version 10は修正版に更新する
10-00以上10-12-01未満を使っている場合は、10-12-01以降へ更新します。更新前にバックアップを取り、検証環境で動作を確認してから本番に適用します。
-
3
Version 9系は日立の告知で対応を確認する
日立のセキュリティ情報hitachi-sec-2026-147で、自社の版の修正版や対処方法を確認します。分からないときは、保守契約先やHiRDBの販売元に問い合わせます。
-
4
接続元を点検する
HiRDB Serverにどのサーバーや端末から接続できるかを洗い出し、業務に不要な経路があれば閉じます。更新の計画が決まるまでの間も、この点検を先に進められます。
すぐ更新できないとき
すぐに更新できない場合は、ファイアウォールやネットワーク機器の設定で、HiRDB Serverへ接続できる送信元を業務に必要なサーバーだけに絞ります。インターネットや、利用者の端末が並ぶネットワークから直接届かないことも確認してください。ここで挙げたのは一般的な緩和策で、完全に防げるとは限らないため、修正版の適用までの間に限った措置として扱います。
背景
HiRDBは日立製作所のリレーショナルデータベース管理システムで、日本企業の基幹業務や大量のトランザクションを扱うシステムの裏側で使われています。サーバーが止まれば、その上で動く業務アプリケーションもまとめて止まります。利用者が直接触れないため、組織内で存在が意識されにくく、版の把握が漏れやすい製品でもあります。
データベースサーバーの受付部分でバッファーの扱いに問題があると、認証を通らずに攻撃を受けるおそれがあります。2003年に広がったSQL Slammerは、Microsoft SQL Serverの同種の問題を突いたワームで、短時間で大量のサーバーに感染しました。今回の件で悪用の報告があるわけではありませんが、DBサーバーへの接続経路を絞っておく意味は、この例からも読み取れます。
よくある質問
Q.データベースが社内ネットワークの中にしかなければ、急がなくてよいですか。
Q.業務パッケージの内部でHiRDBが動いている場合は、どこに連絡すればよいですか。
まだ分かっていないこと
- 実際の攻撃で悪用されているかどうかは公表されていません。
- 脆弱性がどの機能や通信の処理に存在するか、詳しい条件は公表されていません。
- Version 9系の修正版や対処方法は、日立の告知を確認する必要があります。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Hitachi | HiRDB Server Version 10 |
10-00 以上 10-12-01 未満 |
10-12-01 |
| Hitachi | HiRDB Server Version 9 |
09-00 〜 09-66-22 |
— |
| Hitachi | HiRDB Server with Additional Function Version 9 |
09-00 〜 09-66/V |
— |
| Hitachi | HiRDB Server Version 9(32) |
09-02 〜 09-66-22 |
— |
| Hitachi | HiRDB Server with Additional Function Version 9(32) |
09-00 〜 09-66-/V |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Stack-based Buffer Overflow Vulnerability in HiRDB.
This issue affects HiRDB Server Version 10: from 10-00 before 10-12-01; HiRDB Server Version 9: from 09-00 through 09-66-22; HiRDB Server with Additional Function Version 9: from 09-00 through 09-66/V; HiRDB Server Version 9(32): from 09-02 through 09-66-22; HiRDB Server with Additional Function Version 9(32): from 09-00 through 09-66-/V.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web hirt@hitachi.co.jp
- web nvd.nist.gov
- web github.com