Hitachi JP1/Automatic Job Management System 3: Stack-based Buffer Overflow

Zusammenfassung

Ein Stack-based Buffer Overflow (CWE-121) in Hitachi JP1/Automatic Job Management System 3 (JP1/AJS3) Manager und Agent erlaubt einem Angreifer aus dem Netzwerk, die Vertraulichkeit, Integrität und Verfügbarkeit zu beeinträchtigen. Der CVSS-3.1-Basiswert beträgt 9.4 (Critical), für einen Netzwerkangriff sind weder Berechtigungen noch Benutzerinteraktion erforderlich. Die genaue untere Grenze der betroffenen Versionen ist zwischen den Quellen umstritten, daher sollten die installierten Versionen anhand der Herstellerinformation geprüft werden.

Betroffen

• JP1/Automatic Job Management System 3 - Manager: ab 11-00 vor 13-50-31 (CNA-Eintrag; die CNA-Produktdaten nennen 10-00 als untere Grenze)
• JP1/Automatic Job Management System 3 - Agent: ab 11-00 vor 13-50-31 (CNA-Eintrag; die CNA-Produktdaten nennen 10-00 als untere Grenze)
• JP1/Automatic Job Management System 3 - Agent Minimal Edition: ab 11-50 vor 13-50-31 (CNA-Produktdaten)

Behoben in

• Manager und Agent, Windows und Linux: 13-50-31
• Manager und Agent, andere Release-Linien: 12-60-53 und 11-50-39 (Tabelle der korrigierten Produkte im Herstellerhinweis)
• Agent AIX: 13-10-31 (Tabelle der korrigierten Produkte im Herstellerhinweis)
• Agent Minimal Edition, Windows und Linux: 13-50-31, 12-60-53 und 11-50-39
• Für Details zu den korrigierten Produkten wenden Sie sich an Ihre Hitachi-Supportvertretung.

Umgehung

• Kein Workaround des Herstellers identifiziert.
• Bis zum Patch den Netzwerkzugriff auf die Ports von Manager und Agent auf bekannte Hosts beschränken (eigene Empfehlung, nicht vom Hersteller).

Ausnutzung

• Gemäss OffSeq nicht als ausgenutzt bekannt.
• Gemäss Strix nicht im CISA-KEV-Katalog aufgeführt.
• Kein öffentlicher Proof of Concept gefunden; dies beweist jedoch nicht, dass keiner existiert.
• VulDB zeigt den Status-Hinweis "0-Day"; dessen Bedeutung konnte nicht bestätigt werden.
• EPSS: 0.45 % (Perzentil 39).

Unsere Empfehlung

• Als hohe Priorität behandeln.
• Alle JP1/AJS3-Manager- und Agent-Installationen inventarisieren und die Versionen prüfen.
• Betroffene Installationen auf die oben genannten korrigierten Versionen aktualisieren.
• Den Netzwerkzugriff auf Manager und Agent bis zum Patch einschränken.
• Die am selben Tag veröffentlichten, verwandten Hitachi-JP1-CVEs (CVE-2026-76933 bis CVE-2026-76939) zusammen mit dieser Lücke patchen.
• Ungewöhnliche Aktivitäten auf Hosts des Job-Schedulers überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Hitachi security advisory HITACHI-SEC-2026-139 www.hitachi.com
• Hitachi security advisory HITACHI-SEC-2026-143 www.hitachi.com
• VulDB entry 427095 vuldb.com
• OffSeq radar CVE-2026-76932 radar.offseq.com
• Strix CVE-2026-76932 www.strix.ai
• ThreatInt CVE-2026-76932 cve.threatint.com
• CVEBrief archive 2026/10/28 cvebrief.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:48.