JP1製品にバッファーオーバーフロー脆弱性、修正版あり
日立のJP1シリーズのうち、JP1/Baseと、ジョブ管理や統合管理を担う4製品に重大な脆弱性が見つかり、修正版が出ています。認証なしでネットワーク越しに突かれうる性質なので、JP1を使う企業は対象の版かどうかを確認し、修正版への更新計画を立ててください。
急ぎ度: 早めに
CVSS v3は9.4で、認証も利用者の操作も要らずネットワーク越しに悪用されうる一方、修正版がすでに出ているため、更新計画を急いで立てる段階です。
関係があるか
JP1/Baseや、JP1/Automatic Job Management System 3、JP1/Integrated Management 3 - Managerを使っている企業が対象です。業務のバッチ処理や監視の基盤にJP1を置いている情シス部門は、まず自社の版を確認してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| JP1/Integrated Management 3 - Manager | 13-00以上13-50-31未満 | 13-50-31 |
| JP1/Automatic Job Management System 3 - Manager | 13-00以上13-50-31未満 | 13-50-31 |
| JP1/Automatic Job Management System 3 - Agent | 13-00以上13-50-31未満 | 13-50-31 |
| JP1/Automatic Job Management System 3 - Agent Minimal Edition | 13-00以上13-50-31未満 | 13-50-31 |
| JP1/Base | 11-00以上12-50-54未満 | 12-50-54 |
確かめ方
- 1JP1を入れているサーバーを洗い出します。ManagerだけでなくAgentの端末も含めてください。
- 2各サーバーにインストールされているJP1製品名と版を、製品の管理画面かインストール済みソフトの一覧で確認します。
- 3JP1/Baseは他のJP1製品の土台として入っていることが多いため、AJS3やIM3を使っていないサーバーでも版を見てください。
- 4表の範囲に入っていれば対象です。日立のセキュリティ情報（hitachi-sec-2026-155）で、自社の製品と版の組み合わせをもう一度突き合わせます。
何が起きたか
日立のJP1シリーズの複数製品に、スタック上のバッファーオーバーフローの脆弱性が見つかりました。細工されたデータを処理するときにメモリの境界を越えて書き込みが起きる種類のもので、JP1/Base、JP1/Automatic Job Management System 3の各製品、JP1/Integrated Management 3 - Managerが影響を受けます。
10月27日に公表され、日立がセキュリティ情報hitachi-sec-2026-155で修正版を案内しています。CVSSの評価は、情報の漏えいと改ざんが大きく、サービス停止は小さいという内訳です。
筆者は、ジョブ管理の基盤という性格を考えると、通常の更新サイクルを待たずに早めの計画を立てたほうがよいと思っています。
攻撃の流れ
-
1
到達できる位置
対象製品が通信を受け付けるサーバーに、ネットワーク越しに届く場所から接続します。
-
2
細工データの送信
製品が想定しない形のデータを送り込みます。
-
3
メモリの破壊
処理の途中でスタック上の領域があふれ、メモリの内容が壊れます。
-
4
情報と処理への影響
サーバー上の情報の読み取りや書き換え、一部の機能停止につながるおそれがあります。
どう悪用されるか
CVSSのベクターでは、攻撃元の区分がネットワーク、攻撃の複雑さが低、必要な権限が不要、利用者の操作が不要です。ログインできない相手でも、対象製品の通信先に届く位置にいれば試せる条件です。
悪用されたときの影響は、機密性と完全性が高、可用性が低と評価されています。JP1が扱うジョブの定義や実行結果、サーバー上の情報の漏えいと改ざんが主な被害として想定されます。
今すぐやること
-
1
対象サーバーを洗い出す
JP1/Base、AJS3の各製品、IM3 - Managerを入れているサーバーを一覧にして、製品名と版を記録します。
-
2
日立の告知で自社の版を確認する
hitachi-sec-2026-155で、製品と版ごとの修正版と適用手順を確認します。
-
3
検証環境で修正版を試す
ジョブの定義や運用スクリプトが更新後も動くことを、検証環境で確かめます。
-
4
修正版に更新する
ジョブが動いていない時間帯を選び、ManagerとAgent、JP1/Baseを修正版に更新します。更新後に版を再確認し、一覧に反映してください。
すぐ更新できないとき
すぐに更新できない場合は、JP1が使う通信を、管理用のサーバーや端末など必要な接続元だけに絞ると、到達できる範囲を狭められます。ファイアウォールやネットワーク機器の設定で制限してください。これは暫定の対策で、修正版の代わりにはなりません。
背景
JP1は日立の統合運用管理ソフトウェアで、日本企業では夜間バッチなどのジョブ実行や、システムの統合監視に広く使われています。AJS3はジョブの実行順序と実行時刻を管理し、IM3は監視の窓口になります。JP1/Baseはそれらが動く土台で、イベントの管理やサーバー間の連携を受け持ちます。
そのため、ManagerやAgentが多くのサーバーに置かれ、更新対象が広がりやすい製品です。ジョブ実行用のアカウントには強い権限が与えられていることも多く、JP1のサーバーが突破されると、ほかの業務サーバーにも影響が及びやすくなります。今回の脆弱性は、メモリ上の領域があふれることで起きる種類で、CWEの分類ではスタックベースのバッファーオーバーフローです。
よくある質問
Q.インターネットに公開していなければ、急がなくてよいですか。
Q.JP1/Baseだけを入れているサーバーも対象ですか。
まだ分かっていないこと
- 実際の攻撃で悪用されているかどうか、また悪用のために使われる通信の種類や、任意のコード実行まで可能かどうかは、日立の告知やNVDに詳しい記載がありません。
- 日立が回避策を案内しているかどうかや、表に載っていない古い版のAJS3やIM3が影響を受けるかどうかは、日立の告知で確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Hitachi | JP1/Integrated Management 3 - Manager |
13-00 以上 13-50-31 未満 |
13-50-31 |
| Hitachi | JP1/Automatic Job Management System 3 - Manager |
13-00 以上 13-50-31 未満 |
13-50-31 |
| Hitachi | JP1/Automatic Job Management System 3 - Agent |
13-00 以上 13-50-31 未満 |
13-50-31 |
| Hitachi | JP1/Automatic Job Management System 3 - Agent Minimal Edition |
13-00 以上 13-50-31 未満 |
13-50-31 |
| Hitachi | JP1/Base |
11-00 以上 12-50-54 未満 |
12-50-54 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Stack-based Buffer Overflow Vulnerability in JP1 Products.
This issue affects JP1/Integrated Management 3 - Manager: from 13-00 before 13-50-31; JP1/Automatic Job Management System 3 - Manager: from 13-00 before 13-50-31; JP1/Automatic Job Management System 3 - Agent: from 13-00 before 13-50-31; JP1/Automatic Job Management System 3 - Agent Minimal Edition: from 13-00 before 13-50-31; JP1/Base: from 11-00 before 12-50-54.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web hirt@hitachi.co.jp
- web nvd.nist.gov
- web github.com