JVN#59387134    
CLUSTERPRO XおよびEXPRESSCLUSTER XにおけるOSコマンドインジェクションの脆弱性

日本電気株式会社が提供するCLUSTERPRO XおよびEXPRESSCLUSTER Xには、OSコマンドインジェクションの脆弱性が存在します。

• CLUSTERPRO X 4.0 for Linux
• EXPRESSCLUSTER X 4.0 for Linux
• CLUSTERPRO X 4.1 for Linux
• EXPRESSCLUSTER X 4.1 for Linux
• CLUSTERPRO X 4.2 for Linux
• EXPRESSCLUSTER X 4.2 for Linux
• CLUSTERPRO X 4.3 for Linux
• EXPRESSCLUSTER X 4.3 for Linux
• CLUSTERPRO X 5.0 for Linux
• EXPRESSCLUSTER X 5.0 for Linux
• CLUSTERPRO X 5.1 for Linux
• EXPRESSCLUSTER X 5.1 for Linux
• CLUSTERPRO X 5.2 for Linux
• EXPRESSCLUSTER X 5.2 for Linux
• CLUSTERPRO X SingleServerSafe 4.0 for Linux
• EXPRESSCLUSTER X SingleServerSafe 4.0 for Linux
• CLUSTERPRO X SingleServerSafe 4.1 for Linux
• EXPRESSCLUSTER X SingleServerSafe 4.1 for Linux
• CLUSTERPRO X SingleServerSafe 4.2 for Linux
• EXPRESSCLUSTER X SingleServerSafe 4.2 for Linux
• CLUSTERPRO X SingleServerSafe 4.3 for Linux
• EXPRESSCLUSTER X SingleServerSafe 4.3 for Linux
• CLUSTERPRO X SingleServerSafe 5.0 for Linux
• EXPRESSCLUSTER X SingleServerSafe 5.0 for Linux
• CLUSTERPRO X SingleServerSafe 5.1 for Linux
• EXPRESSCLUSTER X SingleServerSafe 5.1 for Linux
• CLUSTERPRO X SingleServerSafe 5.2 for Linux
• EXPRESSCLUSTER X SingleServerSafe 5.2 for Linux

日本電気株式会社が提供するCLUSTERPRO XおよびEXPRESSCLUSTER Xには、次の脆弱性が存在します。

• OSコマンドインジェクション（CWE-78）
  • CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 基本値 9.3
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値 9.8
  • CVE-2025-11546

攻撃者が当該製品に細工したネットワークパケットを送信した場合、認証無しで任意のOSコマンドを実行される可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。

ワークアラウンドを実施する
次の回避策を適用することで、本脆弱性の影響を回避することが可能です。

• Firewallを有効にし、不要な通信を遮断する
• 次のポートについて、クラスタに所属するホストのみに接続要求の受付を許可する
  • データ転送（既定値：29002）

詳細は、開発者が提供する情報を確認してください。

ベンダ	ステータス	ステータス最終更新日	ベンダの告知ページ
日本電気株式会社	該当製品あり	2025/11/07

この脆弱性情報は、製品利用者への周知を目的に、開発者がIPAに報告し、JPCERT/CCが開発者との調整を行いました。