Eclipse OpenJ9 JITServer: Denial of Service vor Authentifizierung durch Integer-Überlauf
Zusammenfassung
Eclipse OpenJ9 Versionen vor 0.63.0 enthalten eine Schwachstelle in der Komponente JITServer. Ein Integer-Überlauf in MessageBuffer::computeRequiredCapacity() bewirkt, dass ein Compilation-Worker-Thread bei der Verarbeitung des Längenfelds einer präparierten TCP-Verbindung in eine Endlosschleife gerät. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann mit wenigen solchen Verbindungen den Worker-Thread-Pool erschöpfen, wodurch die JIT-Kompilierung für alle verbundenen Client-JVMs stillsteht. Betroffen sind nur Hosts, auf denen eine JITServer-Prozess läuft und Netzwerkverbindungen aus nicht vertrauenswürdigen Quellen akzeptiert.
Betroffen
- Eclipse OpenJ9 ab 0.8.0 bis unter 0.63.0 (untere Grenze gemäss CNA-Eintrag)
- Nur Installationen mit der Komponente JITServer sind betroffen; die Standardnutzung von OpenJ9 ist nicht betroffen
Behoben in
- Eclipse OpenJ9 0.63.0 (enthält auch die Korrekturen für verwandte CVEs, die am selben Tag veröffentlicht wurden)
Umgehung
- Keine Workaround-Massnahme vom Hersteller dokumentiert.
- Zugriff auf den JITServer-Port (gemäss verwandtem Advisory standardmässig TCP 38400) per Firewall-Regeln auf vertrauenswürdige Client-JVMs beschränken.
- Die Aktivierung von TLS mit Client-Authentifizierung ist eine sinnvolle Härtungsmassnahme; ob sie diese CVE konkret verhindert, ist nicht bestätigt.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Zum Zeitpunkt der Recherche sind keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept für diese CVE bekannt.
- Ein verwandtes GitHub-Advisory (GHSA-q393-vr4c-969r) beschreibt einen separaten Absturz von JITServer vor der Authentifizierung und enthält PoC-Material.
Unsere Empfehlung
- Prüfen, ob ein OpenJ9-JITServer-Prozess läuft, auch in Container- und Kubernetes-Umgebungen.
- Falls JITServer aus nicht vertrauenswürdigen Netzwerken erreichbar ist, zeitnah auf OpenJ9 0.63.0 aktualisieren.
- Falls JITServer nur intern erreichbar ist, im normalen Patch-Zyklus aktualisieren und den Zugriff per Firewall-Regeln einschränken.
- Auf JITServer-Hosts auf ungewöhnliche CPU-Auslastung und stockende JIT-Kompilierung achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Eclipse OpenJ9 PR #25008 (JITServer: refuse messages larger than 1GB) github.com
- Eclipse OpenJ9 0.63.0 release notes github.com
- Eclipse OpenJ9 PR #25009 (descriptor validation) github.com
- GitHub Security Advisory GHSA-q393-vr4c-969r github.com
- Eclipse CVE work item 422 gitlab.eclipse.org
- Eclipse vulnerability report work item 940 gitlab.eclipse.org
- VulDB CVE-2026-111074 vuldb.com
- Vulners VULNRICHMENT CVE-2026-111074 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:03.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.