JPCERT/CC・IPAは2026年10月13日、ハンモックのAssetViewに関する脆弱性情報「JVN#38664315」を公開しました。アクセス権の割り当てに不備があり、対象のWindowsにログインした攻撃者が、Windowsの強い権限であるSYSTEM権限を取得する可能性があります。製品とバージョンによって対象範囲や対処方法が異なるため、まず自社の利用状況を確認してください。
攻撃条件は稼働先のWindowsへのログイン
脆弱性の識別番号はCVE-2026-101020です。分類はCWE-732で、重要なリソースに対して適切でないアクセス権を割り当てている問題を指します。
JVNによると、攻撃には管理コンソール、またはクライアントモジュールが動作しているWindowsへのログインが必要です。インターネットから接続するだけで攻撃できる、と説明された問題ではありません。一方、確認先を管理コンソールの稼働先だけに絞らず、クライアントモジュールの稼働先にも広げる必要があります。
深刻度を数値で示すCVSSの基本値は、v4.0で8.5、v3.0で7.8です。数値だけで対応を決めず、対象版がどこで稼働しているかと、そのWindowsに誰がログインできるかを合わせて確認するのが実務上の着手点です。
対象版と対処方法は製品ごとに異なる
公開された対象範囲は次のとおりです。製品名だけでなく、バージョンの系列まで照合してください。
- AssetView：Ver 13.2.7Bより前。
- AssetView CLOUDの13.2系：Ver 13.2.7Bより前。
- AssetView CLOUDの13.3系：Ver 13.3.7より前。
- AssetView Cloud ＋：Ver 2600.201.11より前。
AssetViewは、開発者の情報に従って最新版へ更新する必要があります。更新が難しい場合は、開発者の情報に従ってパッチを適用します。
AssetView CLOUDは、開発者のサポートグループへの問い合わせが必要です。AssetView Cloud ＋は、開発者の情報に従って最新版へ更新します。どの製品も同じ更新手順で処理するのではなく、利用製品に合った案内を確認してください。
影響する会社・しない会社
- 影響する: 上記の対象版のAssetView、AssetView CLOUD、AssetView Cloud ＋を利用している会社です。管理コンソールとクライアントモジュールの稼働先を確認対象にしてください。
- 影響しない: これらの製品を利用していない会社は、今回公表された対象には含まれません。
- 影響しない: 利用している製品・系列の版が、上記の「より前」に当てはまらない会社は、公表された対象範囲には含まれません。ただし、AssetView CLOUDのほかの系列については、対象条件が発表には書かれていません。
情シスが今日やること
- 本日中に製品名と版を整理します。 導入記録や運用担当者への確認で、製品名・系列・バージョンを一覧にしてください。版を確認する管理画面の名称やメニューの場所は、発表には書かれていません。不明な場合は、開発者の案内を確認するか、サポートへの問い合わせ項目に加えます。
- 対象版の稼働先とログイン権限を確認します。 管理コンソールとクライアントモジュールが動作するWindowsを洗い出し、端末管理担当者にログイン可能な利用者・管理者の確認を依頼してください。攻撃条件を満たす可能性のある環境を把握するための作業です。
- 本日中に製品別の対応を依頼します。 AssetViewは最新版への更新を運用担当者に依頼し、難しければパッチ適用を検討します。AssetView CLOUDは開発者のサポートグループへ問い合わせます。AssetView Cloud ＋は最新版への更新手順を確認します。
- 更新日程と完了確認の担当を決めます。 対象版、稼働先、対応方法をシステム責任者に共有し、更新やパッチ適用の予定日を合意してください。発表に対応期限は示されていません。作業後は適用結果とバージョンを記録し、問い合わせが必要な環境では、サポートの回答に沿って完了を確認します。
