JP1/Baseの重大な脆弱性、修正版12-50-54で対処
日立のJP1/Baseに、認証なしでネットワークから突かれうる重大な脆弱性が見つかりました。11-00以上12-50-54未満が対象で、12-50-54で修正されています。JP1を運用している組織は、対象サーバーを洗い出して更新の段取りを決めてください。
急ぎ度: 早めに
CVSS v3は9.8で認証も利用者の操作も要らず、修正版12-50-54が出ている一方、KEVへの掲載は確認できず、実際の悪用も確認されていません。
関係があるか
JP1/Baseの11-00以上12-50-54未満を使っている組織が対象です。JP1/Baseは他のJP1製品の前提として入っていることもあるため、JP1を使っていることは認識していても、JP1/Baseの版までは把握していないというケースが出てきそうです。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| JP1/Base（Hitachi） | 11-00以上、12-50-54未満 | 12-50-54 |
確かめ方
- 1JP1が動いているサーバーを一覧にし、JP1/Baseが入っているものを抜き出します。他のJP1製品だけを入れたつもりのサーバーも含めて確認してください。
- 2Windowsでは「プログラムと機能」などのインストール済み一覧で、JP1/Baseの版を確認します。
- 3版が11-00以上12-50-54未満なら対象です。判断に迷う版は、日立のセキュリティ情報（hitachi-sec-2026-156）の対象版と照らし合わせてください。
何が起きたか
日立のJP1/Baseに、メモリの扱いを誤る重大な脆弱性が見つかりました。ネットワーク越しに突かれると、情報の漏えい、データの改ざん、サービスの停止のいずれにも至りうると評価されています。
種類は、ヒープ領域でのバッファオーバーフロー（CWE-122）です。プログラムが確保したメモリの範囲を超えて書き込みが起きる不具合で、CVSS v3は9.8、深刻度は最高の区分にあたるcriticalです。
影響するのは11-00以上12-50-54未満で、12-50-54で修正されました。問題のある機能や処理の詳細は、公表されている説明では触れられていません。
筆者は、悪用の報告がない現時点でも、運用中のサーバーから順に更新を進めるのが妥当だと考えています。
攻撃の流れ
-
1
到達できる状態
攻撃者がJP1/Baseの動くサーバーにネットワークから到達できます。
-
2
細工した通信
認証を経ずに、不正なデータをJP1/Baseへ送りつけます。
-
3
ヒープ領域の破壊
確保された範囲を超えて書き込みが起き、メモリ上のデータが壊れます。
-
4
被害の発生
情報の漏えい、改ざん、サービス停止のいずれにも至りうると評価されています。
どう悪用されるか
悪用に認証は要りません。ネットワークから到達できれば成立し、利用者に何かを操作させる必要もありません。攻撃条件の複雑さも低いと評価されています。
成功した場合の影響は、機密性・完全性・可用性のすべてで高いとされています。JP1/Baseが動くサーバー上の情報が読み取られる、設定やデータが書き換えられる、サービスが止まるといった被害が想定されます。
今すぐやること
-
1
対象サーバーを洗い出す
JP1/Baseが入っているサーバーとその版を一覧にし、11-00以上12-50-54未満のものを特定します。
-
2
修正版12-50-54に更新する
日立のセキュリティ情報（hitachi-sec-2026-156）で入手方法と適用手順を確認し、まず外部や広い範囲のネットワークから到達できるサーバー、次に社内限定のサーバーの順で更新します。
-
3
更新前に検証と退避をする
JP1/Baseを前提とする他のJP1製品への影響を見るため、可能なら検証環境で先に更新を試し、本番では設定とジョブ定義のバックアップを取ってから作業します。
-
4
ネットワーク上の到達範囲を見直す
更新が終わるまでの間、JP1/Baseのサーバーにどの範囲から通信が届くかを確認し、不要な経路があれば閉じます。
すぐ更新できないとき
日立が案内する回避策は確認できていません。更新までの暫定策としては、ファイアウォールなどでJP1/Baseのサーバーへの通信を、運用に必要な管理サーバーや端末だけに絞ります。インターネットからは届かない状態にしておくのが前提です。
背景
JP1/Baseは、日立のJP1シリーズで他の製品が土台にする共通の基盤製品です。ジョブ管理や統合監視などのJP1製品はこれを前提に動くことが多く、サーバーの運用や監視を担う環境に広く置かれています。
そのため、ここが突破されると、1台のサーバーの問題にとどまらず、そのサーバーを経由して管理下のほかの機器やジョブにも手が届く恐れがあります。ヒープ領域でのバッファオーバーフローは、メモリを直接扱う言語で書かれた製品で古くから見つかってきた種類の不具合で、ネットワークからの入力を受ける部分に生じると、認証前の攻撃につながりやすくなります。
よくある質問
Q.実際の攻撃が確認されていないなら、通常の更新サイクルまで待ってもよいですか。
Q.JP1/Baseだけを更新すれば、ほかのJP1製品は触らなくてよいですか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかは分かっていません。KEVへの掲載も確認できていません。
- 脆弱性のある機能や通信の種類、悪用で任意のコード実行まで至るかどうかは、公表されている説明に書かれていません。
- 11系や12系の古い版に向けた個別の修正版があるか、更新時に再起動やサービス停止が必要かは分かっていません。日立のセキュリティ情報で確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Hitachi | JP1/Base |
11-00 以上 12-50-54 未満 |
12-50-54 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Heap-based Buffer Overflow Vulnerability in JP1/Base.
This issue affects JP1/Base: from 11-00 before 12-50-54.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web hirt@hitachi.co.jp
- web nvd.nist.gov
- web github.com