PALLET CONTROLに権限昇格の脆弱性　対象端末と修正パッチを確認

IT資産管理ソフト「PALLET CONTROL」の一部バージョンに、端末内で権限を引き上げられる脆弱性が見つかった。JALデジタルが8月31日に告知し、JVNが9月1日に公開している。識別番号はJVN#84094853、CVE-2026-81302だ。

対象組織に必要なのは、インターネットからの一斉攻撃を想定した遮断よりも、まず導入中の製品系統、バージョン、端末の役割を正確に把握し、ベンダーが用意した修正プログラムを漏れなく適用することだ。公表資料を読む限り、管理側の端末だけを確認して終える対応では不十分になる。

何が起きる脆弱性なのか

PALLET CONTROLは、PCの資産情報、ソフトウェア配布、設定変更、セキュリティ状況などを一元管理する製品だ。JVNによると、バックグラウンドで動く複数のサービスプログラムへのアクセス制御が適切でなく、管理者権限を持たないユーザーでもアクセスできる状態だった。

悪用には、対象端末へ一般ユーザーとしてログインできることが前提になる。その条件を満たす攻撃者は、細工したプログラム間通信を通じ、Windowsの強い権限であるSYSTEM権限で任意のコードを実行できる可能性がある。公開された説明は「インターネットから認証なしで直接侵入できる」という内容ではなく、端末内で既に低い権限を得た後の権限昇格だ。

ベンダーは8月31日時点で、本件に起因する被害は確認していないとしている。また、外部からのコード実行につながる脆弱性ではないとも説明した。ただし、従業員端末や共有PCなど、標準ユーザーでログインできる人が多い環境では、ローカル攻撃という条件だけで対応を後回しにしない方がよい。

対象は管理側と利用者側の両方

公表された対象は、PALLET CONTROL Ver. 6.3のパッチ5以前、PalletControl 9.2〜9.3、PalletControl 10のアップデート8以前、PalletControl クラウドだ。Ver. 6.3では管理者PCとユーザーPC、PalletControl 9.2以降とクラウドではManagerとClientが影響範囲に挙げられている。

この区分は棚卸しで重要になる。管理機能を置いた端末だけでなく、クライアントが動く利用者端末まで確認対象だ。名称に「クラウド」と付く環境でも、契約上の運用分担と、ManagerやClientへ実際に配布済みの版を照合したい。

修正版は、Ver. 6.3ではパッチ6以降、PalletControl 10ではアップデート9以降となる。9.2〜9.3とクラウドを含む詳しい対策プログラムは、保守契約者向けサイトで提供されている。古いバージョンから更新する場合、ベンダーは保守サポート対象バージョンへ更新した後、セキュリティパッチを適用するよう案内している。

実務では「版・役割・適用結果」を残す

最初に、管理台帳や配布管理画面から、製品名だけでなく「6.3か、9系か、10か、クラウドか」「管理者PC／ユーザーPCか、Manager／Clientか」「現在のパッチまたはアップデート番号は何か」を一覧にする。検出できない休眠端末、社外利用PC、長期出張中の端末も別枠にし、未確認のまま完了扱いにしないことが大切だ。

次に、保守サイトから自組織の系統に合う対策プログラムと手順書を取得し、代表端末で業務アプリや配布機能への影響を確かめてから展開する。製品系統ごとに条件が異なるため、一律の適用順序を作るのではなく、ベンダー手順を基準にしたい。展開後は、単に配布ジョブが成功したかではなく、端末側で修正版になったことを再収集し、未接続端末を追跡する。

変更管理票には、確認日時、対象端末数、適用済み数、未適用の理由、再確認予定を残すと、監査と引き継ぎがしやすい。異常な権限昇格や不審なプロセスが既に疑われる場合は、更新だけで証拠を消さず、社内のインシデント対応手順に沿ってログや端末情報を保全し、ベンダー窓口へ相談する。

CVSSは優先順位の出発点

JVN iPediaの基本値はCVSS v4で8.5、CVSS v3で7.8だ。いずれも影響の大きさを示すが、実際に悪用された件数や、自組織での発生確率そのものではない。IPAも、基本評価は脆弱性そのものの特性、現状評価は攻撃手法や対策の状況、環境評価は利用者ごとの条件を扱うと説明している。

したがって、判断材料はスコアだけではない。対象端末の台数、共有利用の有無、標準ユーザーの権限を奪われる経路、端末が扱う情報、業務停止の許容度、修正プログラムの展開可能日を併せて評価する。今回の告知では正式な対策が用意された。まず対象漏れをなくし、適用結果まで確認することが最も確実な対応だ。