AssetViewに脆弱性、PCのSYSTEM権限を取られるおそれ

ハンモックの IT 資産管理ソフト AssetView に、PC にログインできる人が Windows の SYSTEM 権限を取れる脆弱性が見つかりました。回避策はないため、Ver 13.2.7B などの対策版にしてください。

脆弱性の概要

重要CVSS8.5

やること

AssetView は社内の PC などを管理する IT 資産管理ソフトです。回避策はないため、製品ごとに次の対応をしてください。

AssetView と AssetView CLOUD は保守契約ユーザー向けのサイトから資材を入手し、パッチか対策版を適用します。JVN は CLOUD についてはサポート窓口への問い合わせを案内しています
Ver 13.2.0 より前は対策版へ直接上げられないので、サポート窓口に相談してください
AssetView Cloud ＋は9月28日に出た Ver 2600.201.11 へクライアントを更新します

ハンモックと JVN は10月13日に CVE-2026-101020 を公表しました。

SYSTEM 権限で動くプログラムの保護が不十分で、一般ユーザーの権限でこのプログラムを不正なものに置き換えられます。SYSTEM 権限は Windows の中で非常に強い権限です。

管理コンソールかクライアントが動く Windows にログインできる攻撃者が、SYSTEM 権限を取るおそれがあり、機密情報の読み取り、設定の改ざん、製品の停止につながる可能性があります。

CVSS は v4.0 で 8.5、v3.0 で 7.8 です。インターネットから直接攻撃されるものではなく、先に PC へログインできることが条件です。開発元と JVN の公表に悪用の記載はありません。

対象は上の表のとおりです。AssetView、AssetView CLOUD、AssetView Cloud ＋のすべてに対象の版があります。

自社で確かめること

管理コンソールで版を見るAssetView と AssetView CLOUD の版は、管理コンソールのウィンドウタイトルで確認できます。

クライアントの更新漏れクライアントが動く Windows も対象なので、社内の PC に対策が行き渡ったかを確認してください。

保守が切れている場合対策の資材は保守契約ユーザー向けのサイトにあります。保守が切れている場合は、開発元の窓口に問い合わせてください。

自社で確かめるのが難しい場合はCyberScope のセキュリティ診断（3万円から）