CVE-2026-111074
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
W Eclipse OpenJ9 w wersjach przed 0.63.0 komponent JITServer jest podatny na zdalny atak typu denial of service przed uwierzytelnieniem. Podczas przetwarzania początkowego 4-bajtowego pola długości przychodzącego połączenia TCP, przepełnienie liczby całkowitej w `MessageBuffer::computeRequiredCapacity()` powoduje, że wątek roboczy kompilacji wchodzi w nieskończoną pętlę zużywającą ~100% CPU. Nieuwierzytelniony zdalny atakujący może to wykorzystać, otwierając niewielką liczbę spreparowanych połączeń TCP, aby wyczerpać całą pulę wątków roboczych, co po cichu zatrzymuje usługi kompilacji dla wszystkich podłączonych klientów JVM.
Ocena ryzyka
Atakujący może zdalnie i bez uwierzytelnienia wyczerpać zasoby CPU i wątków, powodując niedostępność usług kompilacji JITServer dla wszystkich klientów. Prowadzi to do poważnych zakłóceń w działaniu aplikacji Java.
Rekomendacja
Należy zaktualizować Eclipse OpenJ9 do wersji 0.63.0 lub nowszej. W międzyczasie zaleca się monitorowanie i ograniczanie nieautoryzowanego dostępu sieciowego do portów JITServer.
Inne podatności w Eclipse OpenJ9
Zobacz wszystkie- CVE-2026-97400Średnie
W Eclipse OpenJ9 do wersji 0.63 otwarcie dostarczonego pakietu zrzutu diagnostycznego narzędziem jdmpview lub równoważnym kodem DTFJ może spowodować, że maszyna analityka odczyta dowolny lokalny plik wskazany w pakiecie i wyśle jego zawartość do dowolnego zdalnego hosta.
- CVE-2026-16441Krytyczne
W Eclipse OpenJ9 do wersji 0.60 włącznie, podczas wykonywania plików klas, w których poprzednio konkretna metoda nadklasy została przekompilowana jako abstrakcyjna, wykonanie jest nieprawidłowo delegowane do domyślnej metody interfejsu.
- CVE-2026-16439Krytyczne
Podatność w Eclipse OpenJ9 do wersji 0.60. Użycie opcji -Xtrace do śledzenia argumentów metod może prowadzić do niedomiaru bufora (buffer underflow).
- CVE-2026-110938Wysokie
W Eclipse OpenJ9 w wersjach do 0.63.0 komponent JITServer jest podatny na atak typu denial of service z powodu niewłaściwych sprawdzeń granic podczas obsługi komunikatów protokołu i odpowiedzi. Nieuwierzytelniony zdalny atakujący lub złośliwy JITServer może wysłać zniekształcone ładunki sieciowe powodujące odczyty poza granicami sterty, co natychmiast powoduje awarię demona JITServer lub procesu JVM klienta poprzez błąd segmentacji (SIGSEGV).
- CVE-2026-111075Wysokie
W wersjach Eclipse OpenJ9 przed 0.63.0 komponent JITServer nie przeprowadza walidacji krzyżowej pól _size, _paddingSize i _dataOffset kontrolowanych przez atakującego podczas deserializacji komunikatu DataDescriptor. Nieuwierzytelniony zdalny atakujący może wysłać spreparowany pakiet sieciowy wywołujący niedomiar liczby całkowitej bez znaku, co prowadzi do odczytu poza granicami sterty i natychmiastowej awarii procesu (SIGSEGV).
- CVE-2026-16440Średnie
W Eclipse OpenJ9 do wersji 0.60, specjalnie spreparowany plik .class z głęboko zagnieżdżonymi adnotacjami powoduje błąd segmentacji.
Oryginalny opis (angielski, źródło NVD)
In Eclipse OpenJ9 versions prior to 0.63.0, the JITServer component is vulnerable to a pre-authentication remote denial of service. When processing the initial 4-byte length field of an incoming TCP connection, an integer overflow in `MessageBuffer::computeRequiredCapacity()` causes the receiving compilation worker thread to enter an infinite loop consuming ~100% CPU. An unauthenticated remote attacker can exploit this by opening a small number of crafted TCP connections to exhaust the entire worker thread pool, silently halting compilation services for all connected client JVMs.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS