Oracle Java SE: Vertrauen in kompromittierte eMudhra-CA-Zertifikate in JSSE

Zusammenfassung

Oracle Java SE, Oracle GraalVM for JDK und Oracle GraalVM Enterprise Edition vertrauen weiterhin acht kompromittierten eMudhra-Intermediate-CA-Zertifikaten sowie acht von Sectigo quersignierten Zertifikaten in der Komponente JSSE. Das JDK akzeptiert diese Zertifikate bei TLS-Verbindungen und bei der Prüfung signierter JAR-Dateien. Ein Angreifer, der über die kompromittierten Schlüssel verfügt, kann Zertifikate vorlegen, die Java als gültig behandelt. Für den Angriff genügt Netzwerkzugriff ohne Authentifizierung, und Oracle stuft die Ausnutzung als einfach ein. Eine Ausnutzung ist nicht bestätigt.

Betroffen

• Oracle Java SE: 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5, 27.0.1
• Oracle GraalVM for JDK: 17.0.21, 21.0.13
• Oracle GraalVM Enterprise Edition: 21.3.20

Behoben in

Unbekannt. Oracle empfiehlt in der Warnung, auf die neueste Java-Version zu aktualisieren oder die empfohlenen Massnahmen anzuwenden. Die genauen Versionsnummern der Korrektur sind nicht verifiziert und müssen im Java SE Patch Availability Document von Oracle bestätigt werden. Die Build-Nummern von Drittanbietern sind nicht bestätigt, und eine Quelle gibt an, dass OpenJDK-Korrekturen noch ausstehen.

Umgehung

• Die lokale Datei blocked.certs durch die aktualisierte Version von Oracle ersetzen. Unter Java 8 heisst die Datei blacklisted.certs. Eigene Einträge vorher sichern.
• Die Sperrprüfung (Revocation Checking) für TLS-Anwendungen aktivieren. Ab JDK 17 die Sperrprüfung bei der Prüfung signierter JAR-Dateien aktivieren.
• Sich nicht allein auf das Entfernen des emSign-Root-Zertifikats aus cacerts verlassen, da der von Sectigo quersignierte Pfad weiterhin vertraut sein kann.
• Sperrlisten auf Basis von Fingerprints lassen sich mit neu kodierten Intermediate-Zertifikaten umgehen. Sie sind nur als Übergangslösung geeignet.
• Unter Debian und Ubuntu wird der Java-Keystore durch Updates des Betriebssystem-Trust-Stores allein nicht aktualisiert. Den Keystore nach dem Update neu erstellen.

Ausnutzung

• Oracle gibt nicht an, dass die Schwachstelle ausgenutzt wird.
• Zum Stand 22. Oktober 2026 ist sie nicht im Katalog CISA KEV gelistet.
• Zum Zeitpunkt der Veröffentlichung war kein öffentlicher Proof of Concept und keine ausreichende technische Anleitung verfügbar.
• Eine Ausnutzung in freier Wildbahn ist nicht bestätigt. Die privaten Schlüssel der betroffenen Intermediate-Zertifikate waren öffentlich wiederherstellbar, daher ist das Risiko real.

Unsere Empfehlung

• Alle betroffenen Installationen von Java SE, GraalVM for JDK und GraalVM Enterprise Edition auf die im Patch Availability Document von Oracle genannte Version aktualisieren und die genaue Korrekturversion vor dem Rollout bestätigen.
• Falls ein sofortiges Patchen nicht möglich ist, die aktualisierte Datei blocked.certs von Oracle einspielen und die Sperrprüfung aktivieren.
• Alle Java-Laufzeitumgebungen inventarisieren, auch eingebettete und von Herstellern ausgelieferte, und die Java-Keystores auf Servern und Clients prüfen.
• Auffällige Vertrauensentscheidungen bei TLS und signierten JAR-Dateien überwachen und die Logs von öffentlich erreichbaren Java-Diensten prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (4 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  Carl0gonzalez/java-security-update · hubly12/javafix · FahrihFatahilah/CVE-2026-91403-eMudhra-Java-Scanner · siladu/fix-cve-2026-91403

Quellen der Recherche

• Oracle Security Alert CVE-2026-91403 www.oracle.com
• Brandefense: CVE-2026-91403 brandefense.io
• Azul: eMudhra workaround docs.azul.com
• Beaconlab: Alert 2026-121 Oracle Java SE and GraalVM beaconlab.us
• SecurityOnline: Oracle Java security alert eMudhra securityonline.info
• Sonatype: Limits of fingerprint blocklists www.sonatype.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:33.