【重要】Hinemosのログインユーザのパスワード変更機能に関する脆弱性への対処とALL_USERSロールの初期権限変更のお知らせ

Hinemosのログインユーザのパスワード変更機能において、権限制御に関する
脆弱性が確認されました。

本脆弱性への対処に加え、セキュリティ強化を目的として、
新規導入時の初期権限を見直しました。
本お知らせでは、以下の2点と、それぞれの対処方法をご案内します。

  1. 【1】管理者ユーザのパスワード変更に関する脆弱性への対処
    　対象環境に累積パッチまたは修正版パッケージを適用してください。
    　適用できない場合は、権限設定の見直しによる軽減策を
    　実施してください。
  2. 【2】ALL_USERSロールの初期権限の変更
    　修正版パッケージで新規導入する場合は、運用に必要な権限を
    　利用者の役割に応じて付与してください。
    　既存環境の権限設定は自動的には変更されません。
    　既存環境での対応については「2．」をご確認ください。

本脆弱性に対応した累積パッチおよび修正版パッケージは、
2026年11月4日にリリースしました。

※ 本お知らせにおけるユーザの定義

管理者ユーザ
Hinemos管理者用（ADMINISTRATORS）ロールに所属している
ユーザを指します。組み込み管理者ユーザ（hinemos）も含みます。
一般ユーザ
Hinemos管理者用（ADMINISTRATORS）ロールに所属していない
ユーザを指します。

1．管理者ユーザのパスワード変更に関する脆弱性と対処方法

  1. （1）脆弱性の概要

    従来のHinemosでは、システム権限「アカウント－変更権限」を持つ
    ロールに所属する一般ユーザが、管理者ユーザのパスワードも
    変更できる仕様となっていました。
    また、すべてのユーザが所属するALL_USERSロールには、
    初期状態でこの権限が付与されていました。     これらは従来、製品仕様としていた動作ですが、一般ユーザが
    管理者ユーザのパスワードを変更し、管理者権限を取得できる
    問題があるため、脆弱性として対処しました。

  2. （2）影響を受けるバージョン

    • ・Hinemos ver.7.2.0
    • ・Hinemos ver.7.1.0～7.1.2
    • ・Hinemos ver.7.0.0～7.0.4
    • ・Hinemos ver.6.2.0～6.2.2（通常保守サポート終了済み）
    • ・Hinemos ver.6.1.0～6.1.2（通常保守サポート終了済み）
    • ・Hinemos ver.6.0.0～6.0.3（通常保守サポート終了済み）

    上記より前の、通常保守サポートが終了したバージョンについても、
    本脆弱性の影響を受ける可能性があります。

  3. （3）修正後の仕様

    今回の修正では、他の管理者ユーザのパスワードを変更する際に、
    操作するユーザがHinemos管理者用（ADMINISTRATORS）ロールに
    所属していることを必須条件としました。     システム権限「アカウント－変更権限」を持っていても、
    ADMINISTRATORSロールに所属していない一般ユーザは、
    管理者ユーザのパスワードを変更できなくなります。

    変更対象と操作するユーザの関係は、以下のとおりです。

    • ■ 他のユーザのパスワードを変更する場合
      ・変更対象が管理者ユーザの場合
      操作するユーザがADMINISTRATORSロールに所属している
      必要があります。「アカウント－変更権限」を持つ
      一般ユーザであっても、変更できません。
      ・変更対象が一般ユーザの場合
      従来どおり、システム権限「アカウント－変更権限」を持つ
      ロールに所属するユーザが変更できます。
    • ■ 本人が自身のパスワードを変更する場合

      管理者ユーザ・一般ユーザのいずれも、本人による自身の
      パスワード変更は従来どおり利用できます。
      一般ユーザが自身のパスワードを変更するために、
      ADMINISTRATORSロールに所属する必要はありません。

  4. （4）対処方法

    • A．累積パッチの適用または修正版パッケージによるアップデート

      Hinemos ver.7.0、ver.7.1、ver.7.2をご利用の場合は、
      以下のいずれかの方法で本脆弱性に対処してください。

      • ■ 保守契約をご利用のお客様

        カスタマーポータルから、対象バージョンの累積パッチを
        入手し、適用してください。

        【対象バージョン／累積パッチ名】
        ・Hinemos ver.7.2
        patch_manager_for7.2.0_20261104.zip
        ・Hinemos ver.7.1
        patch_manager_for7.1.2_20261104.zip
        ・Hinemos ver.7.0
        patch_manager_for7.0.4_20261104.zip
      • ■ OSS版をご利用の方

        GitHubで公開している、以下の修正版パッケージを使用して
        既存環境をアップデートしてください。

        【対象バージョン／パッケージ名】
        ・Hinemos ver.7.2
        hinemos-7.2-manager-7.2.0-2.el8.x86_64.rpm
        hinemos-7.2-manager-7.2.0-2.el9.x86_64.rpm
        hinemos-7.2-manager-7.2.0-2.el10.x86_64.rpm
        ・Hinemos ver.7.1
        hinemos-7.1-manager-7.1.2-2.el7.x86_64.rpm
        hinemos-7.1-manager-7.1.2-2.el8.x86_64.rpm
        hinemos-7.1-manager-7.1.2-2.el9.x86_64.rpm
        ・Hinemos ver.7.0
        hinemos-7.0-manager-7.0.4-2.el7.x86_64.rpm
        hinemos-7.0-manager-7.0.4-2.el8.x86_64.rpm
        hinemos-7.0-manager-7.0.4-2.el9.x86_64.rpm
      • ■ 対象チケット
        チケット番号：
        #7022433, #7122433, #7222433
        修正内容 ：
        Administratorsロールに所属しないユーザによる、Administratorsロールおよび所属ユーザへの変更操作を制限する
      • ■ 詳細仕様・適用手順

        修正後の詳しい仕様および適用手順は、以下をご確認ください。

    • B．権限設定の見直しによる軽減策

      • ■ 対象

        累積パッチや修正版パッケージの提供対象外の環境を
        ご利用の場合、またはこれらを適用できない場合は、
        以下の軽減策を実施してください。         通常保守サポートが終了したバージョンへの累積パッチ
        および修正版パッケージの提供は行いません。
        これらのバージョンをご利用の場合も、本軽減策を
        実施してください。         累積パッチの適用または修正版パッケージによる
        アップデートで本脆弱性に対応済みの場合、
        本脆弱性への対処として、この軽減策を追加で
        実施する必要はありません。

      • ■ 実施内容

        システム権限「アカウント－変更権限」が業務上必要な
        ユーザにのみ付与されるよう、ロールに付与する権限や
        ユーザの所属ロールを見直してください。         「アカウント－変更権限」はアカウントパースペクティブ全般の
        変更権限を持ちます。
        アカウントパースペクティブを除く各パースペクティブの参照・変更には
        影響しません。         ALL_USERSロールを含む各ロールについて、同権限の付与状況と、
        そのロールに所属するユーザを確認してください。         権限や所属ロールの変更にあたっては、現在の運用で
        必要な操作への影響をご確認ください。

      • ■ 確認・変更方法

        ロールに付与されている権限、ロールに所属するユーザ、
        およびそれぞれの変更方法は、以下をご参照ください。

        ・Hinemos ver.7.xをご利用の方
        Hinemos ver.7.0/ver.7.1/ver.7.2 基本機能 マニュアル
        1. 4.3.3 アカウント機能の詳細
        2. 4.3.5 アカウント機能の操作手順
        ・Hinemos ver.6.xをご利用の方
        Hinemos ver.6.0/ver.6.1/ver.6.2 ユーザマニュアル
        1. 12.2 ユーザとロールの管理
        2. 12.6 ロールの設定

2．ALL_USERSロールの初期権限の変更と必要な対応

  1. （1）変更内容

    従来、すべてのユーザが所属するALL_USERSロールには、
    初期状態で広範な権限が付与されていました。     今回、セキュリティ強化のために初期権限を見直し、
    2026年11月4日にリリースした修正版パッケージでは、
    新規導入時のALL_USERSロールの権限を
    「リポジトリ－参照」のみとする構成に変更しました。     これにより、初期状態でアカウント変更や設定変更などを
    行える状態を避け、意図しない権限行使のリスクを低減します。

  2. （2）新規導入する場合

    修正版パッケージで新規導入する場合は、運用に必要な権限を
    利用者の役割に応じて付与してください。

  3. （3）既存環境を利用する場合

    累積パッチの適用または修正版パッケージによるアップデートでは、
    既存環境の権限設定は自動的には変更されません。     既存環境での権限設定の見直しは、セキュリティ強化の観点から、
    必要に応じてご検討ください。     「1．」に記載した累積パッチの適用または修正版パッケージによる
    アップデートで本脆弱性に対応済みの場合、本脆弱性への対処として、
    権限設定の見直しを追加で実施する必要はありません。
    適用できない場合は、「1．（4）B．」の軽減策を実施してください。

お問い合わせ

本件に関する詳細については、ご契約者様向けのカスタマーポータルからお問い合わせください。

ご契約に関するお問い合わせ、ご相談は以下お問い合わせフォームよりお問い合わせください。
https://www.hinemos.info/contact

  • 最短3分で完了

    トライアル on AWS

    お客様のAWS環境でHinemosをお試し

    お申込みはこちら

  • まずはお気軽に

    導入のご相談

    Hinemos導入に関する
    各種ご相談・お見積り

    ご相談はこちら