JP1の複数製品にバッファオーバーフロー脆弱性、修正版あり
日立のJP1シリーズ5製品に、認証なしでネットワーク越しに悪用されうるヒープバッファオーバーフローの脆弱性が見つかり、修正版が出ています。ジョブ管理や統合運用管理にJP1を使っている企業は、Agent側やJP1/Baseだけを入れたサーバーまで含めて版を洗い出してください。実際の悪用は示されていないため、慌てて止める段階ではありませんが、検証後に早めの更新を計画しておくと安心です。
急ぎ度: 早めに
CVSS v3は9.4で認証なしのネットワーク経由で悪用でき、修正版が公開されている一方、KEVへの掲載など実際の悪用を示す情報は見当たらないためです。
関係があるか
JP1/Integrated Management 3 - Manager、JP1/Automatic Job Management System 3の各製品（Manager、Agent、Agent Minimal Edition）、JP1/Baseを使っている組織が対象です。Managerを置いたサーバーだけでなく、ジョブを実行する各サーバーのAgentやJP1/Baseも含まれます。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| JP1/Integrated Management 3 - Manager | 13-00以上13-50-31未満 | 13-50-31 |
| JP1/Automatic Job Management System 3 - Manager | 13-00以上13-50-31未満 | 13-50-31 |
| JP1/Automatic Job Management System 3 - Agent | 13-00以上13-50-31未満 | 13-50-31 |
| JP1/Automatic Job Management System 3 - Agent Minimal Edition | 13-00以上13-50-31未満 | 13-50-31 |
| JP1/Base | 11-00以上12-50-54未満 | 12-50-54 |
確かめ方
- 1JP1を導入しているサーバーを資産台帳や構成管理から洗い出し、Manager、Agent、JP1/Baseのどれが入っているかを一覧にします。
- 2各サーバーでJP1製品の版を確認し、上の表の範囲に入るかを照らし合わせます。確認方法は製品のマニュアルか日立の告知に従ってください。
- 3JP1/Baseは、ほかのJP1製品の裏で入っていることがあります。JP1/Baseの版は、運用担当者が意識していなくても確認対象に含めてください。
何が起きたか
JP1の複数製品に、ネットワーク越しに送られたデータによってメモリが壊され、情報の読み出しや書き換えにつながるおそれのある脆弱性が見つかりました。日立が告知を出し、修正版を公開しています。
原因はヒープ領域でのバッファオーバーフロー（CWE-122）で、確保したメモリの範囲を超えて書き込みが起きる種類の不具合です。どの製品のどの機能が入口になるのかは、公開されている説明からは分かりません。
評価はCVSS v3で9.4、重大度はcriticalです。機密性と完全性への影響が高く、可用性への影響は低いと見積もられています。公開日は2026年10月27日です。
攻撃の流れ
-
1
ネットワーク到達
JP1の対象製品が待ち受けているネットワークに、攻撃者が接続できる状態になります。
-
2
不正なデータ送信
ログインなしで、対象製品に想定外のデータが送られます。
-
3
メモリ破壊
ヒープ領域の範囲を超えた書き込みが起き、プログラムの動作が乱れます。
-
4
情報漏えい・改ざん
運用管理の情報やジョブ定義が読まれたり、書き換えられたりするおそれがあります。
どう悪用されるか
悪用にログインは要りません。ネットワーク経由で対象製品に届く位置にいれば試みることができ、攻撃の難易度は低く、利用者の操作も必要ありません。ベクトルでは、影響が脆弱な製品の範囲にとどまる評価（スコープ変更なし）です。
悪用が成功した場合、ジョブの定義や運用管理の情報といった機密性の高いデータが読まれたり、書き換えられたりするおそれがあります。サービスの停止につながる影響は、限定的と評価されています。
JP1は多数のサーバーにジョブの実行を指示する役目を担います。JP1/Baseや各Agentが入ったサーバーは、運用管理用のネットワークの内側にあることが多いはずです。それでも、そのネットワークに侵入された後の足がかりとして狙われる可能性は考えておく必要があります。
今すぐやること
-
1
対象サーバーを洗い出す
Manager、Agent、Agent Minimal Edition、JP1/Baseのそれぞれについて、導入先のサーバーと版を一覧にします。
-
2
修正版への更新を計画する
日立の告知で入手先と手順を確認し、対象製品を修正版に更新します。ジョブの実行時間帯に影響しうるため、検証環境で先に試し、業務への影響が小さい時間帯に切り替えます。
-
3
ネットワークの到達範囲を見直す
JP1の各製品が使う通信が、運用管理に必要な端末とサーバー以外から届かないようになっているかを、ファイアウォールの設定で確認します。インターネットから直接届く構成になっていれば、先に塞ぎます。
-
4
更新後に版を再確認する
更新後は、Manager、Agent、JP1/Baseのすべてが修正版以降になっていることを、洗い出した一覧と照らし合わせて確認します。
背景
JP1は日立の運用管理製品群で、夜間バッチなどのジョブを自動実行するJP1/Automatic Job Management System 3や、システム全体の監視と運用を束ねるJP1/Integrated Management 3があります。JP1/Baseは、これらが前提とする共通の基盤です。Managerが各サーバーのAgentに実行を指示するため、複数の製品が同じ企業内の多数のサーバーに常駐している構成が一般的です。
ヒープバッファオーバーフローは、確保したメモリの範囲を超えて書き込んでしまう不具合で、C言語やC++で書かれたネットワーク待ち受けのプログラムで古くから見つかってきた種類です。今回はそれが、業務の裏側で多くのサーバーに広がるJP1の基盤部分で見つかりました。Managerだけでなく、Agentや、他製品の裏で入っているJP1/Baseまで棚卸しが必要になる点が、この件の手間のかかるところです。
よくある質問
Q.更新はManagerとAgentのどちらから行えばよいですか。
まだ分かっていないこと
- 実際の攻撃での悪用が確認されているかどうかは、現時点では示されていません。
- 脆弱性が存在する具体的な機能や通信の入口、メモリ破壊からコード実行まで至るかどうかは、公表されていません。
- 修正版を当てられないときの回避策が用意されているかどうかは分かりません。日立の告知（hitachi-sec-2026-155）で確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Hitachi | JP1/Integrated Management 3 - Manager |
13-00 以上 13-50-31 未満 |
13-50-31 |
| Hitachi | JP1/Automatic Job Management System 3 - Manager |
13-00 以上 13-50-31 未満 |
13-50-31 |
| Hitachi | JP1/Automatic Job Management System 3 - Agent |
13-00 以上 13-50-31 未満 |
13-50-31 |
| Hitachi | JP1/Automatic Job Management System 3 - Agent Minimal Edition |
13-00 以上 13-50-31 未満 |
13-50-31 |
| Hitachi | JP1/Base |
11-00 以上 12-50-54 未満 |
12-50-54 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Heap-based Buffer Overflow Vulnerability in JP1 Products.
This issue affects JP1/Integrated Management 3 - Manager: from 13-00 before 13-50-31; JP1/Automatic Job Management System 3 - Manager: from 13-00 before 13-50-31; JP1/Automatic Job Management System 3 - Agent: from 13-00 before 13-50-31; JP1/Automatic Job Management System 3 - Agent Minimal Edition: from 13-00 before 13-50-31; JP1/Base: from 11-00 before 12-50-54.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web hirt@hitachi.co.jp
- web nvd.nist.gov
- web github.com