Hitachi JP1/Automatic Job Management System 3: Stack-based Buffer Overflow

Zusammenfassung

Ein Stack-based Buffer Overflow (CWE-121) in den Komponenten Manager und Agent von Hitachi JP1/Automatic Job Management System 3 (JP1/AJS3) ermöglicht einem Angreifer möglicherweise die Ausführung von Code oder den Absturz des Dienstes. Der CVSS-3.1-Basiswert beträgt 9.8 (Critical) mit Angriffsvektor Netzwerk, niedriger Komplexität und ohne erforderliche Berechtigungen oder Benutzerinteraktion. Die genaue technische Ursache und die untere Grenze des betroffenen Bereichs sind noch nicht bestätigt, weshalb ältere Versionen als potenziell betroffen gelten sollten.

Betroffen

• JP1/Automatic Job Management System 3 - Manager: 10-00 bis vor 13-50-31 (gemäss CNA-Eintrag; einzelne Tracker nennen 11-00 als untere Grenze, unbestätigt)
• JP1/Automatic Job Management System 3 - Agent: 10-00 bis vor 13-50-31 (gemäss CNA-Eintrag; einzelne Tracker nennen 11-00 als untere Grenze, unbestätigt)
• JP1/Automatic Job Management System 3 - Agent Minimal Edition: 11-50 bis vor 13-50-31 (gemäss CNA-Eintrag)

Behoben in

• Manager, Linux: 13-50-31, 12-60-53, 11-50-39
• Manager, AIX, HP-UX, Solaris: 12-60-53, 11-50-39
• Agent, Linux: 13-50-31, 12-60-53, 11-50-39
• Agent, AIX: 13-10-31, 12-60-53, 11-50-39
• Agent, HP-UX, Solaris: 12-60-53, 11-50-39
• Agent Minimal Edition, Linux: 13-50-31, 12-60-53, 11-50-39
• Agent Minimal Edition, andere Plattformen: Unbekannt.

Umgehung

Unbekannt. In den Quellen wurde keine Workaround- oder Zwischenmassnahme gefunden. Als einzige Abhilfe wird das Einspielen von Patches genannt.

Ausnutzung

• Zum Zeitpunkt der Recherche ist keine bestätigte Ausnutzung in freier Wildbahn bekannt.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• Laut einem Drittanbieter-Tracker ist die Schwachstelle nicht im CISA-KEV-Katalog enthalten; die Überprüfung bei CISA steht noch aus.
• EPSS: 0.52 % (Perzentil 44).

Unsere Empfehlung

• Alle JP1/AJS3-Manager- und Agent-Systeme inventarisieren, einschliesslich Versionen ab 10-00, und die genaue installierte Version bestätigen.
• Auf die fixe Version des jeweiligen Zweigs aktualisieren, wie von Hitachi angegeben, und für nicht im Auszug aufgeführte Plattformen das vollständige Advisory prüfen.
• Bis zum Patch den Zugriff auf die Verwaltungsports auf vertrauenswürdige Hosts beschränken.
• Prüfen, dass kein JP1/AJS3-System aus dem Internet erreichbar ist.
• Auf ungewöhnliche Aktivitäten auf JP1/AJS3-Servern achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Hitachi Security Information HITACHI-SEC-2026-140 www.hitachi.com
• Hitachi Security Information HITACHI-SEC-2026-143 (related advisory) www.hitachi.com
• CVE record mirror (threatint) cve.threatint.com
• OffSeq Radar: CVE-2026-76934 radar.offseq.com
• Strix: CVE-2026-76934 www.strix.ai
• VulDB entry 427099 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:31.