# オープニング #気になるニュース どうもー セキュリティ直起の松戸です。6回目のセキュリティ会社企業を目指して サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日は気になるニュースに関する話なんですけども かねてよりお伝えしていた通りですね、 つい先日の11月3日に長野県作詞で行われました 餅月駒野里草競馬大会にですね、ジョッキーとして出場してきました。 テレビやニュースにも取り上げていただきましたので、概要欄にURLを貼っておきます。 かれこれ8月末からですね、この大会に向けて減量をしておりまして、最終的には 75、6キロあった体重を約10キロを絞りまして、もう絶対にですね、良い子は真似しないで欲しいんですけれども 体中にですね、体上放射が出るぐらい過酷な減量をしてしまいまして、もう本当にですね、そこまでやる必要があったのかなというところですけれども、競馬のですね レースに臨んでまいりました。草競馬大会と言いながらもですね、 乗る馬は現役だったり、後は引退したばかりのですね、競争馬だったりしますので、まだまだ 走る気満々の馬ばかりというところでして、マックス時速60キロぐらいですかね、それぐらいのスピードで走るわけです。 しかもですね、その草競馬大会ですので、テレビで見るような広い競馬場ではないわけですね。 普段は野球場をやっているグラウンドに砂を撒いてですね、そこでお祭り競馬ということでやるわけなので、めちゃくちゃ狭くて小回りなんですね。 プロのジョッキーでも怖くて乗らないというような人もいるぐらいですね、そこそこリスクがあるコースなんですけども、そこでですね 勝負事ですから、もうみんなぶっちゃけ勝ちたいわけですよ。僕を含めた大の大人がですね、無機になってレースをするわけですから、結果的にはですね、ただの危険スポーツになってしまいます。 落馬事故でですね、救急車が出場することもですね、毎年珍しくはなくて、僕もですね、過去1回ですね、お世話になっております。 で、それでもですね、その草競馬を見に来てくださった方々がですね、観客の皆さんが喜んで手を叩いていただいたり、あとは失踪する馬のですね、迫力に歓声をですね、上げていただいたりですとか、 そういったことがあるとですね、やっぱりこうやってよかったなと、乗ってよかったなというふうに思いました。草競馬でも競泳でも笑顔を作ることが僕にとっての生き甲斐なのかもしれません。 ということで、今回はHAモニターオプションに見つかった脆弱性について取り上げております。 この放送を通じて、リスナーの皆さんはどのような脆弱性で、どのバージョンが対象なのか、そして何をすべきかについて理解を深めていただければと思います。 それではどうぞ。 # HA8000V 対応 HAモニタオプション（管理サーバーレス）にローカルアクセスによりOSコマンドインジェクションの攻撃を受ける恐れがある脆弱性 HA-8000V対応HAモニタオプション管理サーバーレスにローカルアクセスによりOSコマンドインジェクションの攻撃を受ける恐れがある脆弱性 株式会社日立製作所は10月30日サーバー製品におけるHAモニタオプション管理サーバーレスの脆弱性 CVE-2026-84726について発表した。こちらの記事を簡単に解説お願いできますでしょうか。 株式会社日立製作所は10月30日サーバー製品のHAモニタオプション管理サーバーレスの脆弱性を発表しました。 識別番号はCVE-2026-84726でローカルアクセスによりOSコマンドインジェクションの攻撃を受ける恐れがあります。 対象となる型名はTX-LNY-VSS7-BH40とTX-LNZ-VSS7-BH40です。 OSがRHEL7とRHEL8の場合は3.2.6未満、RHEL9の場合は4.2.6未満のバージョンが該当します。 同社は対象のソフトウェアを対策版以降のバージョンへ更新するよう呼びかけています。記事では被害の報告や深刻度の数値は示されていません。 対策は更新が基本となります。同社は対象のソフトウェアを対策版ソフトウェア以降のバージョンへアップデートするよう呼びかけています。 対象の製品を使っている環境では早めの確認が必要です。 OSコマンドインジェクションとはどんな攻撃ですか? はい。アプリケーションが外部から受け取った文字列をそのままOSへの命令に組み込んでしまう弱点をつく攻撃です。 攻撃者が採掘した文字列を入力すると本来は想定されていない命令をOS上で実行される恐れがあります。 例えばファイル名を入力する欄に命令の続きを紛れ込ませるような手口です。 入力の内容を命令とは切り離して扱うことが対策の基本です。 この種類の弱点は古くから知られており開発する側の注意が欠かせません。 ローカルアクセスとはどういう意味でしょうか? はい。ネットワーク越しではなく対象の機器やサーバーにすでにログインできる立場から行う操作のことです。 遠隔から直接攻撃できるものより条件は限られます。 ログインできるのが信頼できる管理者だけであればリスクは下がります。 しかし条件が限られていても攻撃の連鎖の一部として使われることがあります。 ただし別の手段で一般ユーザーの権限を得られた場合にさらに高い権限を奪う足掛かりにされる恐れがあります。 例えば権限の低い利用者が管理者に近い権限で命令を実行できてしまうと設定の改ざんや情報の持ち出しさらには監視の停止にもつながる恐れがあります。 HAモニターオプションとは何をするものなのでしょうか? はい。HAとは効果要請を意味する言葉でシステムが止まらないように状態を監視して障害時に別のサーバーへ切り替えを行う仕組みです。 サーバーの障害に備える製品であるためその部品が悪用されるとシステムの安定運用に影響する恐れがあります。 止まらないことを求められる業務システムではこうした製品の安全性がとても重要です。 自分たちが対象かどうかはどう確認すればよいですか? はい。まず使っている製品の型名とOSの種類を確認してください。 記事の表にある型名と一致するかどうかが出発点です。 型名がTX-LNY-VSS7-BH40またはTX-LNZ-VSS7-BH40でOSがRHELの場合は導入されているソフトウェアのバージョンを調べます。 バージョンは製品の管理画面やコマンドで確認できます。 対象のバージョンならすぐに更新の計画を立てましょう。 対策版への更新が必要です。 更新の前には設定のバックアップを取り、できれば検証環境で動作を確かめましょう。 更新の作業は業務への影響の少ない時間帯に行うのが安心です。 この件からどんな教訓が得られるでしょうか? はい。遠隔から攻撃できない脆弱性でも軽く見ないことです。 サーバーにログインできる人を最小限にし、内部の利用者の権限管理やログイン手段の保護とソフトウェアの更新を組み合わせて多層で守る考え方が大切です。 また、製品の提供元が出す脆弱性情報を定期的に確認する習慣も欠かせません。 更新の度に記録を残して手順書を見直すと、次回の対応が早くなります。 担当者の間で確認の流れを共有しておくことも大切です。 今回のように、公表されてから間もない脆弱性ほど、情報が出揃う前にまず自社の対象を確認する動きが重要です。 なるほど。 敬明とバージョンを確認し対策版へ更新すること、そしてローカルアクセスの脆弱性も軽く見ないことが大切だと分かりました。 権限の管理も見直してみます。 また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、可用性関連のソフトウェアで見つかった 脆弱性ということでですね、 ローカルアクセスでこの脆弱性が 悪用されるということでした。 言葉を変えればですね、リモートアクセスでは この脆弱性が悪用されないということになりますので、 その影響はですね、相対的には限定的だというふうに 言えるわけなんですけども、 やはりですね、最近のAIによる脆弱性分析を考えるとですね、 ローカルアクセスだからということだけでは 終わりにならないというふうに思っています。 もう少しですね、深掘りして考えていく必要が あると思っていまして、 具体的にはですね、このローカルアクセスで 悪用できる脆弱性とは別の何かの脆弱性と組み合わせることによって、 リモートアクセスで脆弱性を悪用できることを 想定する必要があるんじゃないかと思っています。 例えば、最近AIによって発見された脆弱性の中に、 昔から知られているものがですね、含まれていたことは、 皆さんもご存知かと思います。 それがですね、AIによって再度分析された際に、 改めて深刻度の高い脆弱性として再評価されたということですね。 ですから、そのローカルアクセスだから 大丈夫ということにはならずですね、 脆弱性の修正をぜひご検討いただければと思います。 今日の10分セキュリティラジオは、 月曜から土曜に祝日も休まず配信しております。 それではまた、明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you.