Hitachi JP1: Stack-based Buffer Overflow in JP1-Produkten (CVE-2026-86575)
Zusammenfassung
Ein Stack-based Buffer Overflow (CWE-121) in mehreren Hitachi-JP1-Produkten, darunter JP1/Integrated Management 3 - Manager, JP1/Automatic Job Management System 3 (Manager, Agent und Agent Minimal Edition) sowie JP1/Base, wird mit CVSS 9.4 als kritisch eingestuft. Gemäss CVSS-Vektor kann ein nicht authentifizierter Angreifer mit Netzwerkzugriff auf den Dienst die Schwachstelle ohne Benutzerinteraktion auslösen, mit hohen Auswirkungen auf Vertraulichkeit und Integrität und geringen Auswirkungen auf die Verfügbarkeit. Das Advisory beschreibt das genaue Angriffsergebnis über die Schwachstellenklasse hinaus nicht.
Betroffen
- JP1/Integrated Management 3 - Manager: 13-00 bis vor 13-50-31
- JP1/Automatic Job Management System 3 - Manager: 13-00 bis vor 13-50-31
- JP1/Automatic Job Management System 3 - Agent: 13-00 bis vor 13-50-31
- JP1/Automatic Job Management System 3 - Agent Minimal Edition: 13-00 bis vor 13-50-31
- JP1/Base: 11-00 bis vor 12-50-54
Behoben in
- JP1/Integrated Management 3 - Manager: 13-50-31
- JP1/Automatic Job Management System 3 - Manager: 13-50-31
- JP1/Automatic Job Management System 3 - Agent: 13-50-31 (Windows, Linux); AIX 13-10-31 gemäss Advisory
- JP1/Automatic Job Management System 3 - Agent Minimal Edition: 13-50-31
- JP1/Base: 12-50-54 und 11-50-36
- Behobene Versionen für die Release-Linien 13-10, 13-11 und 13-01 anderer Produkte: Unbekannt; im Hersteller-Advisory prüfen.
Umgehung
Unbekannt. Der Massnahmenabschnitt des Herstellers konnte nicht verifiziert werden.
Ausnutzung
- Laut VulDB ist kein öffentlicher Exploit verfügbar.
- Es wurde kein Bericht über eine aktive Ausnutzung von CVE-2026-86575 gefunden.
- EPSS zum Zeitpunkt der Veröffentlichung: 0.45 %.
Unsere Empfehlung
- Alle JP1-Komponenten und Versionen inventarisieren, einschliesslich AIX- und Linux-Agenten.
- Systeme, die von ausserhalb des internen Netzwerks erreichbar sind, priorisieren.
- Auf die behobenen Versionen im Hersteller-Advisory patchen und dabei die Tabelle pro Release-Linie beachten.
- Bis zum Patch den Netzwerkzugriff auf die JP1-Manager- und Agent-Dienste auf bekannte Verwaltungshosts beschränken.
- Ungewöhnliche Verbindungen oder Abstürze der JP1-Dienste überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Hitachi Security Advisory HITACHI-SEC-2026-155 www.hitachi.com
- VulDB 427089 (exploit status) vuldb.com
- VulDB 427105 (related CVE-2026-76936) vuldb.com
- OffSeq Radar: CVE-2026-86575 radar.offseq.com
- Strix: CVE-2026-86575 www.strix.ai
- ThreatInt: CVE-2026-86575 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:44.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.