IT資産管理SS1に脆弱性、PCのファイルを消されるおそれ

やること

ディー・オー・エスは11月9日、IT 資産管理ツール「SS1」と「SS1クラウド」に複数の脆弱性があると公表し、JVN も同じ日に詳細を載せました。対象は社内の PC に入れるエージェント（PC の情報を集めて管理の仕組みに送るプログラム）です。2件のうち1件は、認証のない攻撃者がネットワーク越しに PC のファイルを消せるおそれがあります。ロココの「rocoeyes」は SS1 の ODM 製品（SS1 をもとに他社の名前で提供する製品）で、こちらも同じ欠陥の対象です。

• SS1 は保守契約の利用者向けのサイト「CLUB SS1」で、修正プログラムの適用方法を確かめてください
• SS1クラウドは管理者サイトで案内を確かめ、エージェントを修正版にしてください
• rocoeyes はエージェントを 3.1.1a にしてください

ディー・オー・エスによると、修正プログラムはすでに提供されています。JVN と同社の告知に回避策の記載はありません。

2件の脆弱性の違い

CVE-2026-113437 はパストラバーサルという種類の欠陥です。ファイルの場所を示す文字列に ../ のような「1つ上のフォルダー」を指す書き方を混ぜて、本来扱うはずのフォルダーの外を指させる攻撃を防げていません。その結果、任意のファイルを消されるおそれがあります。CVSS は v4 で 6.9、v3 で 5.3 です。評価ではネットワーク越しに攻撃でき、ログインも利用者の操作も要りません。SS1、SS1クラウド、rocoeyes のすべてが対象です。

CVE-2026-109582 は製品が使う大事な情報を安全でない形で保存している欠陥です。この情報を取られるおそれがあります。どんな情報かは公表されていません。CVSS は v4 で 5.1、v3 で 4.0 で、評価では、PC の中で操作できることが攻撃の条件です。対象は SS1 だけです。

消せるファイルの範囲や、どの通信の受け口が攻撃に使われるかは公表されていません。ただ、エージェントは管理する PC の全台に入れるものなので、同じネットワークにある多くの PC が同じ条件になります。

対象と修正版

対象は、SS1 がエージェント 17.0.0.50 以前（メディア 17.0.0e 以前）、SS1クラウドがエージェント 3.2.0 以前、rocoeyes がエージェント 3.1.1 以前です。

SS1 の修正版は系統ごとに用意されています。JVN に載っている版は次のとおりで、括弧の中はメディアの版です。

• 17.1.0.10（17.1.0a）、17.0.0.60（17.0.0f）
• 16.1.0.100（16.1.0j）、16.0.0.60（16.0.0f）
• 15.1.0.70（15.1.0g）、15.0.0.80（15.0.0h）
• 14.1.0.90（14.1.0i）、14.0.0.90（14.0.0i）
• 13.1.0.100（13.1.0j）、13.0.0.90（13.0.0i）

13 系から 17 系まで修正版があるので、今の系統のまま更新できます。SS1クラウドは 3.1 系なら 3.1.1a、3.2 系なら 3.2.0a です。

CVE-2026-109582 は GMOサイバーセキュリティ byイエラエの村島正浩氏が IPA に、CVE-2026-113437 は Christoph Senn 氏が JPCERT/CC に報告しました。JVN と開発元の告知に悪用の記載はなく、CISA の悪用確認の一覧（KEV）にも11月10日の時点で載っていません。

中小企業が確かめること

テレワークで使う PC や、しまってある予備の PC は、エージェントの更新が後回しになりがちです。こうした PC も含めて、全台が修正版になったかを確かめてください。

保守契約を結んでいない場合は、CLUB SS1 を見られないことがあります。その場合はディー・オー・エスの問い合わせの窓口に、修正プログラムの入手方法を聞いてください。SS1クラウドの問い合わせは管理画面のサポートメニューから送れます。

ファイルを消される欠陥への備えとして、PC の大事なデータを別の場所にもバックアップしておくと、万一のときに戻せます。同じ IT 資産管理の分野ではAssetViewに脆弱性、PCのSYSTEM権限を取られるおそれも伝えています。