Hitachi JP1/AJS3 Manager: Heap-based Buffer Overflow

Zusammenfassung

Hitachi JP1/Automatic Job Management System 3 - Manager in den Versionen 10-00 bis vor 13-50-31 enthält einen Heap-based Buffer Overflow (CWE-122). Ein entfernter Angreifer, der den Dienst über das Netzwerk erreichen kann, könnte den Dienst zum Absturz bringen oder beliebigen Code ausführen, ohne Authentifizierung und ohne Benutzerinteraktion. Ob der verwundbare Eingabepfad ohne Authentifizierung erreichbar ist, ist vom Hersteller noch nicht bestätigt.

Betroffen

• JP1/Automatic Job Management System 3 - Manager, Versionen 10-00 bis vor 13-50-31 (gemäss CNA-Eintrag)
• Die Hitachi-Meldung nennt betroffene Windows-Builds, darunter 13-50 bis 13-50-04, 13-10 bis 13-10-06, 13-00 bis 13-00-09, 12-60 bis 12-60-51, 12-50 bis 12-50-52
• Vollständige Liste der betroffenen Versionen, einschliesslich Linux, AIX, HP-UX, Solaris sowie der Linien 10-xx und 11-xx: Unbekannt (in der Hitachi-Meldung prüfen)

Behoben in

• Windows und Linux: 13-50-31, 12-60-53, 11-50-39
• AIX, HP-UX, Solaris: 12-60-53, 11-50-39
• Status der Korrektur für 10-xx: Unbekannt. Beim Hitachi-Support nachfragen.

Umgehung

Unbekannt. In den verfügbaren Quellen wurde kein Workaround des Herstellers gefunden.

Ausnutzung

• Keine bekannte Ausnutzung; laut Drittquellen nicht im CISA-KEV-Katalog
• In ersten Recherchen kein öffentlicher Proof-of-Concept gefunden
• EPSS: 0.45 % (tief)

Unsere Empfehlung

• Prüfen, ob JP1/AJS3 Manager installiert ist und in welcher Version.
• Prüfen, ob der Dienst aus dem Internet oder aus unsicheren Netzen erreichbar ist.
• Bis zur Korrektur den Netzwerkzugriff auf den AJS3 Manager auf Management-Netze beschränken.
• Auf 13-50-31, 12-60-53 oder 11-50-39 patchen, je nach Version, zusammen mit der verwandten Meldung HITACHI-SEC-2026-143 (CVE-2026-76939).
• Den Dienst auf ungewöhnliche Aktivitäten und Abstürze überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Hitachi Security Advisory HITACHI-SEC-2026-142 www.hitachi.com
• Hitachi Security Advisory HITACHI-SEC-2026-143 www.hitachi.com
• VulDB entry 427106 vuldb.com
• OffSeq Radar CVE-2026-76937 radar.offseq.com
• Strix CVE-2026-76937 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:47.