Eclipse OpenJ9 JITServer: Remote-Absturz durch Integer-Underflow in DataDescriptor
Zusammenfassung
Eclipse OpenJ9 Versionen vor 0.63.0 enthalten einen Fehler in der Komponente JITServer. Fehlende plattformübergreifende Validierung von Nachrichtendeskriptor-Feldern erlaubt einen vorzeichenlosen Integer-Underflow und ein Out-of-Bounds-Read im Heap. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann eine präparierte Nachricht senden, die den Prozess zum Absturz bringt (SIGSEGV) und so einen Denial of Service auslöst. Relevant ist das Problem nur, wenn JITServer aktiviert und über das Netzwerk erreichbar ist.
Betroffen
- Eclipse OpenJ9 Versionen vor 0.63.0
- Untere Grenze nicht verifiziert; ein Aggregator nennt 0.8.0 als Beginn des Bereichs
Behoben in
- Eclipse OpenJ9 0.63.0 oder neuer, einschliesslich der vom Hersteller gefixten JDK-Builds
Umgehung
- JITServer deaktivieren, falls er nicht benötigt wird.
- Eingehenden Verkehr auf den JITServer-Port mit Firewall-Regeln auf vertrauenswürdige Hosts oder Netze beschränken.
Ausnutzung
- Gemäss den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt.
- Für diese CVE-ID wurde kein öffentlicher Proof-of-Concept gefunden.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
Unsere Empfehlung
- Java-Laufzeitumgebungen inventarisieren und prüfen, ob JITServer verwendet wird.
- Auf OpenJ9 0.63.0 oder den gefixten Build des Herstellers aktualisieren.
- Den JITServer-Port bis zur Aktualisierung aus nicht vertrauenswürdigen Netzen sperren.
- Auf unerwartete Abstürze des JITServer-Prozesses achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Eclipse OpenJ9 0.63.0 release notes github.com
- Pull Request #25009 (JITServer: check message descriptor validity) github.com
- Eclipse Vulnerability Report work item 941 gitlab.eclipse.org
- Eclipse CVE assignment work item 423 gitlab.eclipse.org
- VulDB entry 424703 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:04.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.