JITServer в Eclipse OpenJ9: критическая уязвимость CVE-2026-111075
В Eclipse OpenJ9 до версии 0.63.0 обнаружена уязвимость CVE-2026-111075 в компоненте JITServer, позволяющая неаутентифицированному удалённому атакующему вызвать падение процесса. Проблема связана с целочисленным переполнением и чтением за границами кучи при десериализации сообщения DataDescriptor. Оценка CVSS — 8.7 (HIGH).
Подробности
Уязвимость присутствует в Eclipse OpenJ9 версий до 0.63.0. JITServer не выполняет перекрёстную проверку полей `_size`, `_paddingSize` и `_dataOffset`, значения которых контролируются отправителем, при десериализации сообщения `DataDescriptor`. Атакующий может отправить специально сформированный сетевой пакет, который вызывает беззнаковое целочисленное переполнение (integer underflow) в функциях `DataDescriptor::getPayloadSize()` и `DataDescriptor::getNextDescriptor()`. Результатом становится чтение за границами кучи (out-of-bounds heap read) и немедленное аварийное завершение процесса с сигналом SIGSEGV. Ключевая особенность — отсутствие требования аутентификации: для эксплуатации достаточно сетевого доступа к сервису JITServer. Основное последствие — отказ в обслуживании (denial of service). Уязвимость не приводит к удалённому выполнению кода, однако способна нарушить доступность приложений, использующих OpenJ9 с включённым JITServer, включая сценарии с интенсивной нагрузкой на JIT-компиляцию.Что делать
Рекомендуется обновить Eclipse OpenJ9 до версии 0.63.0 или более поздней, где добавлена корректная перекрёстная валидация полей DataDescriptor. Если немедленное обновление невозможно, следует ограничить сетевой доступ к порту JITServer средствами межсетевого экрана и разрешить подключения только с доверенных хостов. Также целесообразно изолировать компонент JITServer в отдельном сегменте сети и организовать мониторинг аварийных завершений процесса на предмет аномальных SIGSEGV. После обновления стоит проверить журналы на предмет попыток отправки некорректных служебных сообщений. Итог: CVE-2026-111075 — серьёзная уязвимость отказа в обслуживании в Eclipse OpenJ9, эксплуатация которой не требует учётных данных. Своевременное обновление до версии 0.63.0 и сетевые митигации существенно снижают риск.Источник: CVE Project (cvelistV5)