Oracle Java SE: Unautorisierter Datenzugriff in JSSE-Komponente

Zusammenfassung

Eine Schwachstelle in der JSSE-Komponente (Java Secure Socket Extension, TLS-APIs) von Oracle Java SE, Oracle GraalVM for JDK und Oracle GraalVM Enterprise Edition erlaubt nicht authentifizierten Angreifern mit Netzwerkzugriff, Daten zu erstellen, zu ändern oder zu löschen und auf Daten zuzugreifen, die die Java-Laufzeitumgebung erreichen kann. Die Ausnutzung erfolgt über APIs der Komponente, zum Beispiel über einen Webservice, der Daten an diese APIs übergibt. Betroffen sind auch clientseitige Installationen wie sandboxed Applets und Java-Web-Start-Anwendungen, die nicht vertrauenswürdigen Code ausführen. Der CVSS-3.1-Basiswert beträgt 9.1 (kritisch), und CISA SSVC bewertet die technischen Auswirkungen als total und die Schwachstelle als automatisierbar.

Betroffen

• Oracle Java SE 8u511-b32 und 8u511-perf-b32
• Oracle Java SE 11.0.33.0.2, 17.0.21.0.2, 21.0.13.0.2, 25.0.5.0.2 und 27.0.1.0.2
• Oracle GraalVM for JDK 17.0.21.0.2 und 21.0.13.0.2
• Oracle GraalVM Enterprise Edition 21.3.20.0.2
• Distributionsbuilds (zum Beispiel von Linux-Herstellern oder OpenJDK-Builds) können andere Paketversionen verwenden; die Sicherheitshinweise der jeweiligen Hersteller prüfen

Behoben in

• Oracle empfiehlt die Aktualisierung auf die neueste Java-Version; die Verfügbarkeit von Patches je Release-Linie ist im Java SE Patch Availability Document aufgeführt, das für diesen Eintrag nicht abgerufen werden konnte.
• Nicht verifizierte Angabe eines Drittanbieters: 21.0.13.0.3+1 als Korrektur für Oracle JDK 21. Vor der Verwendung anhand der Release Notes von Oracle prüfen.
• Die Builds 21.0.13.0.2 und 17.0.21.0.2 aus dem früheren Notfall-Update gelten weiterhin als betroffen und schliessen diese CVE nicht.
• Korrigierte Versionen für die übrigen Release-Linien: Unbekannt.

Umgehung

• Konkrete Massnahmen, auf die Oracle verweist (ops.java/emudhra): Unbekannt.
• Die Korrektur entfernt Root-CA-Zertifikate, die mit dem eMudhra-Vorfall zusammenhängen (emSign-Roots und der Comodo-AAA-Root), aus dem cacerts-Speicher des JDK.
• Bis zur Korrektur: Alle Java-Laufzeitumgebungen und eigenen Truststores inventarisieren und prüfen, ob sie diese Roots noch vertrauen.

Ausnutzung

• In freier Wildbahn ausgenutzt: Nicht bekannt; Oracle erwähnt keine Ausnutzung.
• Öffentlicher Proof of Concept: Keiner bekannt (VulDB, TheHackerWire).
• Rapid7 führt EPSS 0%; die CVE ist nicht im CISA-KEV-Katalog aufgeführt.
• Die Schlagzeile von TheHackerWire zu einem 'Sandbox-Escape' ist nicht verifiziert; die Angaben von Oracle und Penligent zeigen keine Ausnutzungskette.
• Abweichende Bewertung: VulDB führt CVSS 7.3 und CWE-269, Oracle und der CVE-Eintrag führen CVSS 9.1 und CWE-327.
• NVD-Status zum Zeitpunkt der Recherche: Awaiting Analysis.

Unsere Empfehlung

• Alle Java-Laufzeitumgebungen inventarisieren, einschliesslich jener in Geschäftsanwendungen und Drittsoftware; bei Lieferanten die verwendeten Java-Versionen erfragen.
• Aus dem Internet erreichbare Java-Dienste und Webservices zuerst prüfen und mit Priorität patchen, gemäss Oracle Java SE Patch Availability Document oder Hinweis des Herstellers.
• Die früheren Notfall-Builds (21.0.13.0.2, 17.0.21.0.2) nicht als Korrektur betrachten.
• Truststores und Anwendungen auf Abhängigkeit von den entfernten eMudhra-nahen Roots prüfen und anpassen.
• Netzwerkexposition von Java-Diensten einschränken und auf ungewöhnlichen Datenzugriff überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  joedayz/cve-2026-114820-java-scan

Quellen der Recherche

• Oracle Security Alert CVE-2026-114820 www.oracle.com
• Oracle Security Blog: Security Alert CVE-2026-114820 blogs.oracle.com
• Rapid7 vulnerability database entry www.rapid7.com
• VulDB entry 426135 vuldb.com
• OpenCVE entry CVE-2026-114820 app.opencve.io
• Penligent analysis (third-party, unverified) www.penligent.ai
• Alcybr blog on JSSE vulnerability (third-party) alcybr.com
• TheHackerWire vulnerability entry www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:25.