JP1の複数製品に重大な脆弱性、修正版あり
日立のJP1シリーズで、ジョブ管理や統合監視に使う製品とJP1/Baseに、深刻度が高い脆弱性が見つかりました。JP1/Baseや、各サーバーに入れているAgentを含め、自社のどこに対象の版があるかを洗い出し、修正版に更新する計画を立ててください。
急ぎ度: 早めに
CVSS v3が9.4と高く、対象のすべての製品に修正版が出ているためです。
関係があるか
JP1/Automatic Job Management System 3やJP1/Integrated Management 3、またはその土台のJP1/Baseを使っている企業が対象です。JP1/BaseとAgentは業務サーバーの1台ごとに入っていることが多く、見落としやすい点に注意してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| JP1/Integrated Management 3 - Manager | 13-00以上13-50-31未満 | 13-50-31 |
| JP1/Automatic Job Management System 3 - Manager | 13-00以上13-50-31未満 | 13-50-31 |
| JP1/Automatic Job Management System 3 - Agent | 13-00以上13-50-31未満 | 13-50-31 |
| JP1/Automatic Job Management System 3 - Agent Minimal Edition | 13-00以上13-50-31未満 | 13-50-31 |
| JP1/Base | 11-00以上12-50-54未満 | 12-50-54 |
確かめ方
- 1構成管理台帳やソフトウェア資産管理ツールで、JP1の各製品が入っているサーバーを一覧にします。
- 2各サーバーでJP1/Base、JP1/Automatic Job Management System 3、JP1/Integrated Management 3のインストール済みの版を確認し、上の表の範囲に入るかを照らし合わせます。
- 3JP1/Baseは11-00以上12-50-54未満が対象で、ほかの製品とは版の範囲が違います。製品ごとに別々に判定してください。
- 4判定に迷う版があれば、日立のセキュリティ情報（hitachi-sec-2026-155）で対象の版を確認します。
何が起きたか
JP1の複数の製品に、メモリ上の想定外の場所へデータを書き込んでしまう脆弱性が見つかりました。深刻度は、CVSS v3で9.4のcriticalです。
分類はCWE-787（範囲外書き込み）です。日立が2026年10月27日にセキュリティ情報（hitachi-sec-2026-155）を出し、NVDとGitHub Advisory Databaseにも同じ内容が登録されました。
対象は、JP1/Integrated Management 3 - Manager、JP1/Automatic Job Management System 3のManager、Agent、Agent Minimal Edition、そしてJP1/Baseです。いずれも修正版が公開されています。
攻撃の流れ
-
1
対象に到達
攻撃者が、JP1の対象製品が動くサーバーにネットワーク経由でつながります。
-
2
不正な入力
ログインせずに、細工したデータを製品へ送ります。
-
3
範囲外に書込
製品がメモリの想定外の場所へデータを書き込みます。
-
4
情報へ影響
データの漏えいや改ざんにつながり、サービスの停止も起こりえます。
どう悪用されるか
CVSSのベクターはAV:N/AC:L/PR:N/UI:Nです。ネットワーク経由で届き、特別な条件は要らず、認証もログインした利用者の操作も必要としません。
被害の評価は、機密性と完全性への影響が高、可用性への影響が低です。ジョブ定義や監視情報といったデータの漏えいと改ざんが主な懸念で、サービス停止は限定的という見方です。ただし、実際にどこまで広がるかは製品ごとの使い方で変わります。
今すぐやること
-
1
対象のサーバーを洗い出す
JP1/Base、Automatic Job Management System 3のAgent、Managerのいずれかが入っているサーバーを一覧にし、版を控えます。Agentは台数が多く、Baseは別の製品の土台として入っていることもあるため、台帳だけでなく実機でも確認すると漏れを減らせます。
-
2
修正版に更新する
対象の版が見つかったものから、修正版に更新します。まず、ネットワーク上で多くの端末から到達できるサーバーと、重要な業務を動かすManagerを優先すると安全です。更新の手順は日立の案内に従い、ジョブの実行時間帯を避けて日程を組みます。
-
3
更新後の版を確認する
更新が終わったサーバーで、版が修正版以上になっていることを再確認します。Manager、Agent、Baseの版が製品ごとに合っているかも、あわせて見ておきます。
-
4
日立の告知を見直す
更新を始める前に、日立のセキュリティ情報（hitachi-sec-2026-155）で、版の範囲と更新の注意点に追記がないかを確認します。
すぐ更新できないとき
すぐに修正版を当てられない場合は、対象サーバーへの通信をファイアウォールなどで制限し、JP1の管理に必要な端末とサーバーからだけ届くようにします。これは一般的な被害の低減策で、この脆弱性に対する日立の公式な回避策ではありません。通信を絞る前に、JP1が使う通信の経路を確認してください。
背景
JP1はジョブの自動実行や運用監視を担う、日立の運用管理ソフトの製品群です。JP1/Automatic Job Management System 3は夜間バッチなどのジョブを複数のサーバーにまたがって動かし、JP1/Integrated Management 3は各種の監視情報を1か所に集めます。JP1/Baseはこれらの土台となる共通の基盤製品です。
今回の脆弱性が厄介なのは、対象にAgentとBaseが含まれることです。Managerは数台でも、AgentとBaseは業務サーバーの1台ごとに入っていることが多く、洗い出しだけで手間がかかります。また、JP1の運用担当者と、サーバーを管理するチームが別の会社や部署のケースも少なくありません。版の確認を誰が行うかを、先に決めておくとあとが楽です。
よくある質問
Q.JP1を社内のネットワークだけで使っていても、対象になりますか。
まだ分かっていないこと
- 実際の攻撃で悪用されているか、攻撃の手順が公開されているかは、公表されていません。続報は日立のセキュリティ情報（hitachi-sec-2026-155）で確認してください。
- 脆弱性がある具体的な機能や通信、攻撃されたときの影響の詳細、日立が案内する回避策の有無は、公表されていません。
- 表に載っていない版（13系のJP1/Baseや、12系以前のAutomatic Job Management System 3など）が対象かどうかは、公表されていません。自社の版が表の範囲外でも、日立の告知で確認すると確実です。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Hitachi | JP1/Integrated Management 3 - Manager |
13-00 以上 13-50-31 未満 |
13-50-31 |
| Hitachi | JP1/Automatic Job Management System 3 - Manager |
13-00 以上 13-50-31 未満 |
13-50-31 |
| Hitachi | JP1/Automatic Job Management System 3 - Agent |
13-00 以上 13-50-31 未満 |
13-50-31 |
| Hitachi | JP1/Automatic Job Management System 3 - Agent Minimal Edition |
13-00 以上 13-50-31 未満 |
13-50-31 |
| Hitachi | JP1/Base |
11-00 以上 12-50-54 未満 |
12-50-54 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Out-of-bounds Write Vulnerability in JP1 Products.
This issue affects JP1/Integrated Management 3 - Manager: from 13-00 before 13-50-31; JP1/Automatic Job Management System 3 - Manager: from 13-00 before 13-50-31; JP1/Automatic Job Management System 3 - Agent: from 13-00 before 13-50-31; JP1/Automatic Job Management System 3 - Agent Minimal Edition: from 13-00 before 13-50-31; JP1/Base: from 11-00 before 12-50-54.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web hirt@hitachi.co.jp
- web nvd.nist.gov
- web github.com