HiRDBにOSコマンドインジェクションの脆弱性、V10は修正版あり
日立のデータベース製品HiRDB Serverに、認証なしでネットワーク越しにOSコマンドを実行されるおそれのある脆弱性が見つかりました。Version 9と10を使う企業が対象で、Version 10には修正版の10-12-01が出ています。まず自社のHiRDBの版と、ネットワーク上で誰が接続できるかを洗い出してください。
急ぎ度: 早めに
CVSS v3が9.8で認証も利用者の操作も要らない条件ですが、実際の攻撃での悪用は確認されておらず、修正版が出ているのはVersion 10だけです。
関係があるか
HiRDB ServerのVersion 9またはVersion 10を業務システムの基盤に使っている組織が対象です。データベースサーバーに接続できる範囲が広い環境ほど、影響を受けやすくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| HiRDB Server Version 10 | 10-00以上10-12-01未満 | 10-12-01 |
| HiRDB Server Version 9 | 09-00以上09-66-22以下 | 修正版の記載なし。日立の告知で確認 |
| HiRDB Server with Additional Function Version 9 | 09-00以上09-66/V以下 | 修正版の記載なし。日立の告知で確認 |
| HiRDB Server Version 9(32) | 09-02以上09-66-22以下 | 修正版の記載なし。日立の告知で確認 |
| HiRDB Server with Additional Function Version 9(32) | 09-00以上09-66-/V以下 | 修正版の記載なし。日立の告知で確認 |
確かめ方
- 1資産台帳や構成管理表で、HiRDBを動かしているサーバーを本番・検証・災対用を問わず洗い出します。
- 2各サーバーのHiRDBの製品名と版を、導入時の記録や日立のマニュアルにある確認方法で調べ、上の表と照らし合わせます。
- 3Version 9は通常版と追加機能付き、32ビット版で版の表記が違うため、製品名まで合わせて確認します。
- 4HiRDBのサーバーに接続できる機器の範囲を、ファイアウォールやネットワーク機器の設定から把握します。
何が起きたか
HiRDB Serverに、外部から受け取った入力の扱いに不備があり、サーバー上でOSのコマンドを実行されるおそれのある脆弱性が見つかりました。
分類はCWE-78のOSコマンドインジェクションで、CVSS v3は9.8、深刻度はcriticalです。日立は2026年10月27日に、セキュリティ情報hitachi-sec-2026-146としてこの脆弱性を告知しました。
対象はVersion 10の10-00から10-12-01の手前までと、Version 9の各製品の09-66系までです。修正版が示されているのはVersion 10の10-12-01です。
攻撃の流れ
-
1
到達できる
攻撃者がHiRDB Serverにネットワーク経由で接続できる位置にいます。
-
2
不正な入力
認証を通さないまま、サーバーが受け付ける入力に不正な内容を送ります。
-
3
コマンド実行
サーバー側でOSのコマンドとして処理され、意図しない命令が動きます。
-
4
データと稼働に影響
保存データの読み取りや改ざん、サービス停止につながります。
どう悪用されるか
認証は要りません。ネットワーク越しに送信でき、複雑な条件や利用者の操作も要らないとされています（CVSSのベクターはAV:N/AC:L/PR:N/UI:N）。HiRDB Serverに通信が届く位置にいれば、条件を満たす可能性があります。
悪用された場合、機密性・完全性・可用性のすべてに高い影響が出るという評価です。具体的には、データベースの内容が読まれる、書き換えられる、サーバーが止まる、といった被害が考えられます。サーバー上でOSのコマンドが動くため、同じサーバーにある他のファイルや設定にも影響が及ぶおそれがあります。
今すぐやること
-
1
対象の版を洗い出す
HiRDBを使っているサーバーを一覧にし、製品名と版を記録します。検証環境や災対用の環境も含めます。
-
2
Version 10は修正版に更新する
Version 10は10-12-01以降に更新します。更新前にバックアップを取り、検証環境で動作を確認してから本番に適用します。
-
3
Version 9は日立の告知で対応を確認する
Version 9の各製品は修正版の記載が確認できません。日立の告知と保守窓口で、対応方法と提供時期を問い合わせます。
-
4
接続元を絞る
更新までの間も、HiRDBへの通信を許可する範囲を業務に必要な接続元だけに絞ります。インターネット側から直接届く構成になっていないかも確認します。
-
5
不審な動きがないか見る
更新の前後で、HiRDBサーバーへの想定外の接続元や、見覚えのないプロセス・ファイルがないかをログで確認します。
すぐ更新できないとき
日立の告知にある回避策は、確認できる範囲では示されていません。修正版を当てられない間は、ファイアウォールなどでHiRDBへの通信を業務上必要な機器だけに限る対策が現実的です。これは脆弱性を直すものではなく、到達できる相手を減らして被害の可能性を下げる措置です。
背景
HiRDBは日立のリレーショナルデータベースで、基幹業務のデータを預かる土台として使われます。アプリケーションサーバーの背後に置かれることが多く、外から直接見えない構成が一般的です。そのぶん、社内のどの機器から接続できるかが、この脆弱性の影響を左右します。
OSコマンドインジェクションは、入力として受け取った文字列がOSへの命令の一部として扱われてしまう種類の脆弱性です。データベース製品では、データを守る仕組みの外側、つまりサーバーのOSそのものに手が届く点が厄介です。データベースの権限管理だけでは防げず、サーバー全体の乗っ取りにつながり得ます。
よくある質問
Q.社内LANだけで使っていて、インターネットには公開していません。急がなくてよいですか。
まだ分かっていないこと
- Version 9の各製品の修正版や提供時期は、確認できる範囲では示されていません。日立の告知（hitachi-sec-2026-146）で最新の案内を確認してください。
- どの機能や接続経路が悪用の入り口になるのか、コマンドがどの権限で動くのかは、示されていません。
- 実際の攻撃での悪用が確認されたという情報は、現時点では見当たりません。Version 8以前の影響の有無も告知に記載がなく、日立に確認が必要です。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Hitachi | HiRDB Server Version 10 |
10-00 以上 10-12-01 未満 |
10-12-01 |
| Hitachi | HiRDB Server Version 9 |
09-00 〜 09-66-22 |
— |
| Hitachi | HiRDB Server with Additional Function Version 9 |
09-00 〜 09-66/V |
— |
| Hitachi | HiRDB Server Version 9(32) |
09-02 〜 09-66-22 |
— |
| Hitachi | HiRDB Server with Additional Function Version 9(32) |
09-00 〜 09-66-/V |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
OS Command Injection Vulnerability in HiRDB.
This issue affects HiRDB Server Version 10: from 10-00 before 10-12-01; HiRDB Server Version 9: from 09-00 through 09-66-22; HiRDB Server with Additional Function Version 9: from 09-00 through 09-66/V; HiRDB Server Version 9(32): from 09-02 through 09-66-22; HiRDB Server with Additional Function Version 9(32): from 09-00 through 09-66-/V.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web hirt@hitachi.co.jp
- web nvd.nist.gov
- web github.com