HiRDB Serverにバッファーオーバーフローの脆弱性、版10は修正版あり
日立のデータベース HiRDB Server に、認証なしでネットワーク経由から突かれうる重大な脆弱性が見つかりました。HiRDB Server Version 10 は 10-12-01 が修正版です。Version 9 系は修正版が示されていないため、まず自社の版を洗い出し、日立の告知で対応を確認してください。
急ぎ度: 早めに
CVSS v3は9.8で、認証不要のネットワーク経由という条件が付き、Version 10には修正版がありますが、実際に悪用された情報は確認できていません。
関係があるか
HiRDB Serverを業務システムのデータベースとして運用している組織が対象です。業務パッケージや自社開発システムの裏側でHiRDBが動いている場合も含みます。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| HiRDB Server Version 10 | 10-00以上10-12-01未満 | 10-12-01 |
| HiRDB Server Version 9 | 09-00から09-66-22まで | 修正版は示されていません |
| HiRDB Server with Additional Function Version 9 | 09-00から09-66/Vまで | 修正版は示されていません |
| HiRDB Server Version 9(32) | 09-02から09-66-22まで | 修正版は示されていません |
| HiRDB Server with Additional Function Version 9(32) | 09-00から09-66-/Vまで | 修正版は示されていません |
確かめ方
- 1資産台帳や構成管理表で、HiRDBを使っているサーバーを洗い出します。
- 2各サーバーにインストールされているHiRDBの製品名と版を、管理者が製品の版数表示で確認します。
- 3表の範囲に入るかを照合します。Version 10は10-12-01より前なら対象です。Version 9系は表の上限以下なら対象です。
- 4業務パッケージを導入している場合は、その内部でHiRDBが使われていないかを、パッケージの提供元に問い合わせます。
何が起きたか
HiRDB Serverに、メモリの扱いに誤りがある脆弱性が見つかりました。悪用されると、データベースの情報が読まれる、書き換えられる、サービスが止まる、といった被害につながるおそれがあります。
CWE-122に分類されるヒープベースのバッファーオーバーフローで、確保したメモリ領域の外側にデータが書き込まれる種類の不具合です。日立は2026年10月27日に、セキュリティ情報hitachi-sec-2026-147として公開しました。
CVSS v3のベクターは、機密性・完全性・可用性のすべてが「高」です。
攻撃の流れ
-
1
到達できる位置
攻撃者がHiRDB Serverにネットワーク経由で接続できる状態にあります。
-
2
不正なデータ送信
ログインなしで、サーバーに不正なデータが送られます。
-
3
メモリ領域の破壊
ヒープ領域の範囲を超えて書き込みが起き、サーバーの処理が乱れます。
-
4
情報と稼働への被害
データの漏えいや改ざん、サービス停止が起きるおそれがあります。
どう悪用されるか
CVSS v3のベクターから、悪用に認証は要りません。ネットワーク経由で、利用者の操作も要らず、攻撃の複雑さは低いと評価されています。HiRDB Serverに接続できる位置にいる相手であれば、条件が整いやすいということです。
悪用された場合、データベースに保存された情報の漏えいや改ざん、サービス停止が想定されます。データベースは業務システム全体の土台なので、被害はHiRDB単体にとどまらず、それを使う業務アプリにも及びます。
今すぐやること
-
1
対象のサーバーを洗い出す
HiRDBを使うサーバーを本番・検証・開発の別なく一覧にし、製品名と版を記録します。
-
2
Version 10は修正版に更新する
10-12-01以降への更新を計画します。本番に当てる前に、検証環境でアプリの動作を確かめ、バックアップを取っておくと安心です。
-
3
Version 9系は日立の告知で対応を確認する
修正版が示されていないため、日立のセキュリティ情報を確認し、必要なら日立のサポート窓口やシステム提供元に対策を問い合わせます。
-
4
接続できる範囲を点検する
HiRDB Serverに接続できる機器とネットワークを確認し、業務に必要な接続元だけに絞られているかを見直します。インターネットから直接届く構成は、最優先で解消してください。
すぐ更新できないとき
すぐに更新できない場合は、ファイアウォールなどでHiRDB Serverへの接続元を、業務に必要なサーバーだけに限定します。これは一般的な被害軽減の手段で、日立が示した回避策ではありません。脆弱性そのものはなくならないため、修正版や対策の入手までのつなぎとして扱ってください。
背景
HiRDBは日立が提供するリレーショナルデータベースで、国内の業務システムの基盤として使われてきました。受注や会計といった業務データを保持し、アプリケーションサーバーからの要求を受け付けて処理するため、接続を受ける側のプロセスに不具合があると、データそのものに響きます。
今回の脆弱性はVersion 10だけでなく、Version 9と、32ビット版のVersion 9(32) にも及びます。長く運用されてきた環境ほど旧版が残りやすく、版ごとに修正版の有無が異なる点に注意が要ります。
よくある質問
Q.社内ネットワークだけで使っているデータベースでも、急ぐ必要がありますか。
Q.HiRDBを意識して導入した覚えがありません。対象かどうかはどう分かりますか。
まだ分かっていないこと
- Version 9系の修正版や個別の対策が用意されるかどうかは、日立の告知に記載がありません。最新の状況はhitachi-sec-2026-147で確認してください。
- 実際の攻撃で悪用されたかどうかは、いまのところ確認できていません。
- 脆弱性が生じる具体的な機能や、攻撃を検知する手がかりは示されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Hitachi | HiRDB Server Version 10 |
10-00 以上 10-12-01 未満 |
10-12-01 |
| Hitachi | HiRDB Server Version 9 |
09-00 〜 09-66-22 |
— |
| Hitachi | HiRDB Server with Additional Function Version 9 |
09-00 〜 09-66/V |
— |
| Hitachi | HiRDB Server Version 9(32) |
09-02 〜 09-66-22 |
— |
| Hitachi | HiRDB Server with Additional Function Version 9(32) |
09-00 〜 09-66-/V |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Heap-based Buffer Overflow Vulnerability in HiRDB.
This issue affects HiRDB Server Version 10: from 10-00 before 10-12-01; HiRDB Server Version 9: from 09-00 through 09-66-22; HiRDB Server with Additional Function Version 9: from 09-00 through 09-66/V; HiRDB Server Version 9(32): from 09-02 through 09-66-22; HiRDB Server with Additional Function Version 9(32): from 09-00 through 09-66-/V.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web hirt@hitachi.co.jp
- web nvd.nist.gov
- web github.com