Eclipse OpenJ9 JITServer: Denial of Service durch Out-of-Bounds-Read im Heap

Zusammenfassung

Eclipse OpenJ9 bis einschliesslich 0.63.0 enthält mehrere Schwachstellen in der Komponente JITServer, mit der eine JVM die JIT-Kompilierung an einen separaten, gegebenenfalls entfernten Prozess auslagern kann. Unzureichende Grenzprüfungen beim Verarbeiten von Protokollnachrichten und Antworten erlauben Lesezugriffe ausserhalb des Heap-Speichers. Ein nicht authentifizierter Angreifer aus dem Netzwerk oder ein bösartiger JITServer kann manipulierte Nutzdaten senden, die den JITServer-Daemon oder die Client-JVM mit einem Segmentation Fault (SIGSEGV) zum Absturz bringen. Die Auswirkung beschränkt sich auf die Verfügbarkeit; eine Beeinträchtigung der Vertraulichkeit oder Integrität wird nicht angegeben.

Betroffen

• Eclipse OpenJ9 bis einschliesslich 0.63.0 (Beschreibung des CNA; der maschinenlesbare Bereich lautet 0.8.0 bis kleiner 0.63, daher wird 0.63.0 bis zur Klärung durch Eclipse als betroffen betrachtet)
• Nur Installationen mit aktiviertem JITServer sind betroffen (nicht standardmässig aktiviert)

Behoben in

Unbekannt. Die Quellen widersprechen sich. Die Korrektur befindet sich in PR #25011 und den zugehörigen Commits (#25005-#25009) in der Release-Linie 0.63.0. OpenCVE empfiehlt 0.64.0 oder neuer; VulDB gibt an, dass 0.63.0 die Schwachstelle behebt. Die korrigierte Version ist mit dem Advisory von Eclipse zu bestätigen.

Umgehung

• JITServer deaktivieren (nicht -XX:+UseJITServer verwenden), falls er nicht benötigt wird
• Netzwerkzugriff auf den JITServer-Port (konfiguriert mit -XX:JITServerPort) auf vertrauenswürdige Client-Hosts beschränken, z. B. mit Firewall-Regeln

Ausnutzung

• Unbekannt, ob öffentlicher Exploit-Code existiert.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
• Keine bekannte aktive Ausnutzung.

Unsere Empfehlung

• Prüfen, ob JITServer verwendet wird (Suche nach -XX:+UseJITServer und -XX:JITServerPort in den JVM-Startoptionen)
• Falls verwendet, OpenJ9 auf die korrigierte Version aktualisieren, sobald Eclipse diese bestätigt hat, mindestens aber auf 0.64.0 oder neuer
• Bis zum Patch die Workarounds anwenden und den JITServer-Port auf vertrauenswürdige Hosts beschränken
• JVM-Absturzprotokolle und Neustarts des JITServers auf Anzeichen von Missbrauch überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Eclipse OpenJ9 PR #25011 (JITServer buffer overrun fix) github.com
• Eclipse CVE assignment work item 407 gitlab.eclipse.org
• OpenJ9 0.63.0 release github.com
• VulDB entry CVE-2026-110938 vuldb.com
• OpenCVE CVE-2026-110938 app.opencve.io
• VulnRichment CVE-2026-110938 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:03.