Hinemosに脆弱性、一般ユーザーが管理者パスワードを変更

NTT データ先端技術の統合運用管理ソフト Hinemos で、一般ユーザーが管理者のパスワードを変更できる脆弱性が見つかりました。11月4日に累積パッチと修正版が出ました。サポート終了版は権限の見直しで軽減します。

脆弱性の概要

重要CVSS7.1

やること

Hinemos はサーバーやシステムの監視とジョブの実行をまとめて行う統合運用管理ソフトです。契約の形によって対応が変わります。

権限の見直しでは「アカウント－変更権限」を業務で必要な人だけに付けます。

NTT データ先端技術と JVN は11月4日に CVE-2026-109849 を公表しました。

従来の Hinemos では、「アカウント－変更権限」を持つロールの一般ユーザーが管理者のパスワードも変更できました。すべてのユーザーが属する ALL_USERS ロールには初期状態でこの権限が付いていました。

これまでは製品の仕様でしたが、一般ユーザーが管理者権限を取得できるため、脆弱性として対処されました。CVSS は v4.0 で 7.1、v3.0 で 6.5 です。修正後は、管理者のパスワードを変えるには ADMINISTRATORS ロールへの所属が必要です。

開発元と JVN の公表に悪用の記載はありません。

対象は上の表のとおりです。ver.6.0 より前のバージョンも影響を受ける可能性があります。

11月4日の修正版パッケージで新しく入れる場合、ALL_USERS ロールの初期権限は「リポジトリ－参照」だけになります。運用に必要な権限は役割に応じて付けてください。

自社で確かめること

権限の持ち主を確かめる「アカウント－変更権限」が付いたロールと、そこに属するユーザーを確認してください。ALL_USERS ロールを含めて見ます。

古いバージョンを確かめるver.6 系と、それより前のバージョンにパッチは出ません。使っている場合は権限を見直してください。

既存の環境の初期権限を見直すパッチを当てても、既存の環境の権限設定は自動で変わりません。必要に応じて見直してください。

自社で確かめるのが難しい場合はCyberScope のセキュリティ診断（3万円から）