Perforce P4 Search: Remote Code Execution über exponierte JDWP-Debug-Schnittstelle
Zusammenfassung
Perforce-P4-Search-Container-Images vor 2026.4.2 stellen eine nicht authentifizierte Java-Debug-Schnittstelle (JDWP) bereit. Ein Angreifer mit Netzwerkzugriff auf diese Schnittstelle kann beliebigen Code als Dienstkonto von P4 Search ausführen. Dadurch kann der angebundene P4 Server kompromittiert werden. Der CVSS-4.0-Basiswert beträgt 9.5 (kritisch).
Betroffen
- P4-Search-Container-Images 2026.4.1 und älter (gemäss CNA-Eintrag, standardmässig betroffen)
- Native Installationen (ohne Container): Unbekannt.
Behoben in
- 2026.4.2 (gemäss CNA-Eintrag und Advisory-Text des Herstellers)
Umgehung
- Dem Hersteller ist kein Workaround bekannt.
- Netzwerkzugriff auf den Debug-Port einschränken.
- Den JDWP-Debug-Agent nach Möglichkeit deaktivieren (allgemeine JDWP-Härtung, keine Empfehlung von Perforce).
Ausnutzung
- CISA-SSVC-Bewertung: Exploitation none, nicht automatisierbar, totale technische Auswirkung.
- Es wurden keine Berichte über Ausnutzung in freier Wildbahn gefunden.
- Eine Behauptung über einen öffentlichen PoC existiert, ist aber nicht verifiziert.
Unsere Empfehlung
- Alle P4-Search-Container-Images und allfällige native Installationen inventarisieren und deren Versionen prüfen.
- Auf 2026.4.2 oder neuer aktualisieren.
- Sicherstellen, dass der Debug-Port aus Benutzer- und Build-Netzwerken nicht erreichbar ist; P4 Search auf den P4 Server und die benötigten Clients beschränken.
- Logs auf unerwartete Verbindungen zum Debug-Port und auf geänderte Dienstkonto-Zugangsdaten prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Perforce Support Portal: RCE via exposed JDWP debug agent in P4Search portal.perforce.com
- CVE record (CNA Perforce, cvelistV5) raw.githubusercontent.com
- VulDB: CVE-2026-100102 vuldb.com
- HOL Guard: CVE-2026-100102 hol.org
- Strix: CVE-2026-100102 www.strix.ai
- Exposed JDWP exploited in the wild (NetManageIT) blog.netmanageit.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:34.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.