Hitachi JP1: Heap-basierter Pufferüberlauf in mehreren JP1-Produkten

Zusammenfassung

Ein heap-basierter Pufferüberlauf (CWE-122) betrifft mehrere Hitachi-JP1-Produkte, darunter JP1/Integrated Management 3 - Manager, JP1/Automatic Job Management System 3 (Manager, Agent und Agent Minimal Edition) sowie JP1/Base. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L) zeigt, dass ein Angreifer mit Netzwerkzugriff ohne Berechtigungen und ohne Benutzerinteraktion ausnutzen kann. Die Quellen beschreiben die genaue Auswirkung nicht; der Vektor deutet auf eine hohe Auswirkung auf Vertraulichkeit und Integrität sowie eine geringe Auswirkung auf die Verfügbarkeit hin.

Betroffen

• JP1/Integrated Management 3 - Manager: 13-00 bis vor 13-50-31
• JP1/Automatic Job Management System 3 - Manager: 13-00 bis vor 13-50-31
• JP1/Automatic Job Management System 3 - Agent: 13-00 bis vor 13-50-31
• JP1/Automatic Job Management System 3 - Agent Minimal Edition: 13-00 bis vor 13-50-31
• JP1/Base: 11-00 bis vor 12-50-54

Behoben in

• JP1/Integrated Management 3 - Manager: 13-50-31
• JP1/Automatic Job Management System 3 - Manager: 13-50-31
• JP1/Automatic Job Management System 3 - Agent (Windows, Linux): 13-50-31
• JP1/Automatic Job Management System 3 - Agent (AIX): 13-10-31 (geplant, gemäss Advisory)
• JP1/Automatic Job Management System 3 - Agent Minimal Edition: 13-50-31
• JP1/Base: 12-50-54; 11-50-36 für die 11-50-Linie (gemäss Advisory)

Die genaue Fixversion pro Produkt im Hitachi-Advisory prüfen, bevor gepatcht wird.

Umgehung

Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround gefunden. Die Beschränkung des Netzwerkzugriffs auf JP1-Manager- und Agent-Ports auf Management-Netze ist eine allgemeine Übergangsmassnahme und keine Herstellerempfehlung.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden (OffSeq führt die Lücke als nicht bekanntermassen ausgenutzt).
• Der Status im CISA-KEV-Katalog ist nicht bestätigt; den CISA-Katalog direkt prüfen.
• In den konsultierten Quellen wurde kein öffentlicher Proof-of-Concept gefunden.
• VulDB schätzt die Exploit-Kosten auf USD 0-5k; dies ist eine Marktschätzung und kein Beleg für Ausnutzung.

Unsere Empfehlung

• Prüfen, ob JP1-Produkte, insbesondere JP1/Base, in der Umgebung vorhanden sind, auch als Komponenten anderer JP1-Produkte.
• Prüfen, ob ein JP1-Manager oder -Agent aus dem Internet oder aus nicht vertrauenswürdigen Netzen erreichbar ist, und den Zugriff auf Management-Netze beschränken.
• Die Fixversion pro Produkt im Hitachi-Advisory prüfen oder beim Hitachi-Support bestätigen; danach zuerst die Management-Server und anschliessend die Agenten patchen.
• JP1-Systeme bis zum Patch auf unerwartete Abstürze oder ungewöhnliche Prozesse überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Hitachi Security Advisory HITACHI-SEC-2026-155 www.hitachi.com
• CVE record and NVD data (threatint) cve.threatint.com
• OffSeq exploitation context radar.offseq.com
• VulDB entry CVE-2026-86576 vuldb.com
• Strix CVE-2026-86576 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:45.