Hitachi JP1/Base: Heap-basierter Pufferüberlauf
Zusammenfassung
Hitachi JP1/Base, eine Komponente der JP1-Produkte für Job- und Systemmanagement, enthält einen heap-basierten Pufferüberlauf (CWE-122 laut CNA; VulDB nennt CWE-120). Gemäss CVSS-3.1-Vektor kann die Schwachstelle remote über das Netzwerk ohne Berechtigungen und ohne Benutzerinteraktion ausgenutzt werden und zu einem vollständigen Verlust von Vertraulichkeit, Integrität und Verfügbarkeit führen. Ob der verwundbare Codepfad vor der Authentifizierung erreichbar ist, ist nicht bestätigt.
Betroffen
- JP1/Base Linux, Solaris, HP-UX: 12-50 bis 12-50-53, 12-10 bis 12-10-11, 12-00 bis 12-00-34, 11-50 bis 11-50-35, 11-10 bis 11-10-32, 11-00 bis 11-00-31
- JP1/Base AIX: 12-50 bis 12-50-53, 12-10 bis 12-10-11, 12-00 bis 12-00-34, 11-50 bis 11-50-34, 11-10 bis 11-10-32, 11-00 bis 11-00-31
- Die CNA-Angabe beschreibt den Bereich als 11-00 vor 12-50-54; dies widerspricht der Herstellermeldung für die Linie 11-50.
- Windows ist in der Begleitmeldung HITACHI-SEC-2026-155 (CVE-2026-86575) abgedeckt.
Behoben in
- JP1/Base 12-50-54 (Linux, AIX, HP-UX, Solaris)
- JP1/Base 11-50-36 (Linux, AIX, HP-UX, Solaris), vorbehaltlich der Bestätigung durch den Hitachi-Support wegen der Abweichung der CNA-Angabe
- Korrekturstatus für die Linien 12-00, 12-10, 11-00 und 11-10: Unbekannt.
Umgehung
Unbekannt. Die Meldung enthält keine herstellerseitige Umgehungslösung; Hitachi verweist Kunden an den Support.
Ausnutzung
- Kein öffentlicher Proof of Concept gefunden; VulDB meldet keinen verfügbaren Exploit.
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog.
- Ob Angriffsversuche beobachtet wurden, ist unklar.
- EPSS: 0.52 % (Perzentil 44).
Unsere Empfehlung
- Inventarisieren Sie alle Hosts mit JP1/Base, einschliesslich Installationen als Teil von JP1/IM oder JP1/AJS sowie Windows-Systemen, und erfassen Sie Version und Betriebssystem genau.
- Planen Sie Upgrades auf 12-50-54 (und 11-50-36, wo zutreffend) nach Rücksprache mit dem Hitachi-Support.
- Für die Linien 12-00, 12-10, 11-00 und 11-10 holen Sie die Korrektur oder Hinweise beim Hitachi-Support ein.
- Beschränken Sie den Netzwerkzugriff auf JP1-Dienste auf bekannte Verwaltungshosts und prüfen Sie externe Erreichbarkeit.
- Prüfen Sie den NVD-Eintrag, CISA KEV und VulDB auf Änderungen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Hitachi advisory HITACHI-SEC-2026-156 www.hitachi.com
- Hitachi advisory HITACHI-SEC-2026-155 www.hitachi.com
- VulDB CVE-2026-86574 vuldb.com
- Strix CVE-2026-86574 www.strix.ai
- OffSeq CVE-2026-86574 radar.offseq.com
- JP1/Base product documentation itpfdoc.hitachi.co.jp
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.