HiRDBに重大な脆弱性、Version 10は修正版あり
日立のデータベース製品HiRDB Serverに、バッファオーバーフローの脆弱性が見つかりました。Version 9と10を使う組織が対象で、Version 10には修正版が出ています。まず自社のHiRDBの版を洗い出し、該当すれば更新の段取りに入ってください。
急ぎ度: 早めに
CVSS v3が9.4のcriticalで、認証なしにネットワーク経由で狙える評価ですが、実際の悪用は確認されておらず、修正版もVersion 10でしか確認できていないため、至急ではなく早めの対応と判断しました。
関係があるか
HiRDB Serverを基幹システムや業務システムのデータベースとして使っている組織が対象です。Version 9を使い続けている環境は、修正版の記載がないため、とくに確認が必要です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| HiRDB Server Version 10 | 10-00以上、10-12-01未満 | 10-12-01 |
| HiRDB Server Version 9 | 09-00以上、09-66-22以下 | 修正版の記載なし |
| HiRDB Server with Additional Function Version 9 | 09-00以上、09-66/V以下 | 修正版の記載なし |
| HiRDB Server Version 9(32) | 09-02以上、09-66-22以下 | 修正版の記載なし |
| HiRDB Server with Additional Function Version 9(32) | 09-00以上、09-66-/V以下 | 修正版の記載なし |
確かめ方
- 1資産台帳や構成管理表で、HiRDB Serverが入っているサーバーを洗い出します。
- 2各サーバーのHiRDBの版を確認し、上の表の範囲に入るかを照らし合わせます。Additional Function付きや32ビット版は製品名が別なので、見落とさないようにします。
- 3該当したサーバーについて、どのネットワークやどの機器からHiRDBの接続ポートに届くかを、ファイアウォールの設定やネットワーク図で確認します。
- 4運用や保守をベンダー任せにしている場合は、委託先にも使用している版を問い合わせます。
何が起きたか
HiRDB Serverに、スタックベースのバッファオーバーフローという種類の脆弱性が見つかりました。悪用されると、データベースの内容を読まれたり書き換えられたりする恐れがあり、サービスの動作にも多少の影響が出ると評価されています。
日立は2026年10月27日に、セキュリティ情報hitachi-sec-2026-144として公表しました。弱点の分類はCWE-121です。CVSS v3のベクターは CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L で、機密性と完全性への影響が高く、可用性への影響は低とされています。
対象はVersion 10の10-00から10-12-01の手前までと、Version 9の各製品です。Version 10は10-12-01で修正されています。
攻撃の流れ
-
1
対象の発見
HiRDB Serverの通信口に届く位置から、対象の版が動いているサーバーを見つけます。
-
2
細工した通信
ログインなどの手続きを経ずに、サーバーへ想定外のデータを送りつけます。
-
3
メモリの破壊
サーバー側の処理でスタック上のメモリがあふれ、プログラムの動作が乱れます。
-
4
データへの影響
データの読み取りや書き換え、サービスの一部の不調につながる恐れがあります。
どう悪用されるか
ネットワーク経由で攻撃でき、事前の認証は要らず、利用者の操作も必要ありません。攻撃の難易度は低いと評価されています。HiRDBの接続口に通信が届く位置にいれば、条件は満たされます。
成功した場合の被害は、データベースに保管された情報の漏えいと改ざんが中心です。サービスへの影響は限定的とされています。業務データの正しさに直結するため、被害の範囲は大きくなりえます。
今すぐやること
-
1
対象の版を洗い出す
自社のHiRDB Serverがどの製品、どの版かを一覧にします。本番だけでなく、検証環境や開発環境、使われなくなったまま残っているサーバーも含めます。
-
2
Version 10は10-12-01に更新する
10-12-01より前のVersion 10は、修正版に更新します。データベースの停止を伴うため、保守窓口や業務部門と更新日時を調整します。更新前にはバックアップを取り、テスト環境で動作を確かめます。
-
3
Version 9は日立の告知を確認する
Version 9の各製品には修正版の記載がありません。日立のセキュリティ情報を確認し、対応方針が分からなければ、保守窓口や販売元に問い合わせます。サポート期間と合わせて、Version 10への移行計画を前倒しするかも検討します。
-
4
接続元を絞る
更新までのあいだ、HiRDBの接続口に届く機器を、アプリケーションサーバーなど必要なものだけに絞ります。インターネットから直接届く状態になっていないかも確認します。
-
5
不審な接続を点検する
HiRDBサーバーへの接続ログや、サーバーの異常終了の記録を見て、見慣れない接続元や不自然な再起動がないかを確認します。
すぐ更新できないとき
修正版をすぐに適用できない場合は、ファイアウォールやネットワーク機器の設定で、HiRDBの接続口に到達できる機器を業務上必要なものだけに限定します。管理用や保守用のネットワークと、一般の利用者の端末が使うネットワークを分けておくことも有効です。ただし、これは一般的な被害軽減策であり、日立が回避策として示したものではありません。
背景
HiRDBは日立のリレーショナルデータベースで、国内の業務システムや基幹システムの裏側でデータを保管する役目を担っています。利用者の端末からは見えず、アプリケーションサーバーを通じて使われることが多い製品です。そのためインターネットに直接公開されることは少ない一方、社内ネットワークの中からは広く届く構成になりがちです。社内の端末が1台でも侵害されると、データベースへの足がかりになりえます。
今回の脆弱性は、メモリ上のスタックと呼ばれる領域にデータがあふれる種類のものです。受け付けるデータの長さの確認が不十分だと起きる、古くから知られた型の問題です。データベースサーバーでは、これが認証の前の段階にあると、アカウントの管理だけでは防げません。接続元の制限が現実的な防御線になります。
よくある質問
Q.CVSSが10ではなく9.4なのはなぜですか。
Q.HiRDBは社内ネットワークだけで使っています。それでも急ぐ必要はありますか。
まだ分かっていないこと
- 実際の攻撃で悪用された事例が確認されているか、攻撃コードが出回っているかは公表されていません。
- Version 9の各製品について、修正版が提供されるか、提供されるならいつかは公表されていません。日立のセキュリティ情報hitachi-sec-2026-144で最新の状況を確認してください。
- 日立が示す回避策や緩和策があるかどうかは、確認できていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Hitachi | HiRDB Server Version 10 |
10-00 以上 10-12-01 未満 |
10-12-01 |
| Hitachi | HiRDB Server Version 9 |
09-00 〜 09-66-22 |
— |
| Hitachi | HiRDB Server with Additional Function Version 9 |
09-00 〜 09-66/V |
— |
| Hitachi | HiRDB Server Version 9(32) |
09-02 〜 09-66-22 |
— |
| Hitachi | HiRDB Server with Additional Function Version 9(32) |
09-00 〜 09-66-/V |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Stack-based Buffer Overflow Vulnerability in HiRDB.
This issue affects HiRDB Server Version 10: from 10-00 before 10-12-01; HiRDB Server Version 9: from 09-00 through 09-66-22; HiRDB Server with Additional Function Version 9: from 09-00 through 09-66/V; HiRDB Server Version 9(32): from 09-02 through 09-66-22; HiRDB Server with Additional Function Version 9(32): from 09-00 through 09-66-/V.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web hirt@hitachi.co.jp
- web nvd.nist.gov
- web github.com