CVE-2026-16441
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
W Eclipse OpenJ9 do wersji 0.60 włącznie, podczas wykonywania plików klas, w których poprzednio konkretna metoda nadklasy została przekompilowana jako abstrakcyjna, wykonanie jest nieprawidłowo delegowane do domyślnej metody interfejsu.
Ocena ryzyka
Może to prowadzić do nieoczekiwanego zachowania aplikacji, potencjalnie umożliwiając atakującemu wykonanie kodu lub ominięcie zabezpieczeń.
Rekomendacja
Zaktualizuj Eclipse OpenJ9 do wersji 0.61 lub nowszej.
Inne podatności w Eclipse OpenJ9
Zobacz wszystkie- CVE-2026-97400Średnie
W Eclipse OpenJ9 do wersji 0.63 otwarcie dostarczonego pakietu zrzutu diagnostycznego narzędziem jdmpview lub równoważnym kodem DTFJ może spowodować, że maszyna analityka odczyta dowolny lokalny plik wskazany w pakiecie i wyśle jego zawartość do dowolnego zdalnego hosta.
- CVE-2026-16439Krytyczne
Podatność w Eclipse OpenJ9 do wersji 0.60. Użycie opcji -Xtrace do śledzenia argumentów metod może prowadzić do niedomiaru bufora (buffer underflow).
- CVE-2026-110938Wysokie
W Eclipse OpenJ9 w wersjach do 0.63.0 komponent JITServer jest podatny na atak typu denial of service z powodu niewłaściwych sprawdzeń granic podczas obsługi komunikatów protokołu i odpowiedzi. Nieuwierzytelniony zdalny atakujący lub złośliwy JITServer może wysłać zniekształcone ładunki sieciowe powodujące odczyty poza granicami sterty, co natychmiast powoduje awarię demona JITServer lub procesu JVM klienta poprzez błąd segmentacji (SIGSEGV).
- CVE-2026-111075Wysokie
W wersjach Eclipse OpenJ9 przed 0.63.0 komponent JITServer nie przeprowadza walidacji krzyżowej pól _size, _paddingSize i _dataOffset kontrolowanych przez atakującego podczas deserializacji komunikatu DataDescriptor. Nieuwierzytelniony zdalny atakujący może wysłać spreparowany pakiet sieciowy wywołujący niedomiar liczby całkowitej bez znaku, co prowadzi do odczytu poza granicami sterty i natychmiastowej awarii procesu (SIGSEGV).
- CVE-2026-111074Wysokie
W Eclipse OpenJ9 w wersjach przed 0.63.0 komponent JITServer jest podatny na zdalny atak typu denial of service przed uwierzytelnieniem. Podczas przetwarzania początkowego 4-bajtowego pola długości przychodzącego połączenia TCP, przepełnienie liczby całkowitej w `MessageBuffer::computeRequiredCapacity()` powoduje, że wątek roboczy kompilacji wchodzi w nieskończoną pętlę zużywającą ~100% CPU. Nieuwierzytelniony zdalny atakujący może to wykorzystać, otwierając niewielką liczbę spreparowanych połączeń TCP, aby wyczerpać całą pulę wątków roboczych, co po cichu zatrzymuje usługi kompilacji dla wszystkich podłączonych klientów JVM.
- CVE-2026-16440Średnie
W Eclipse OpenJ9 do wersji 0.60, specjalnie spreparowany plik .class z głęboko zagnieżdżonymi adnotacjami powoduje błąd segmentacji.
Oryginalny opis (angielski, źródło NVD)
In Eclipse OpenJ9 versions up to 0.60, when executing class files where a previously concrete superclass method has been recompiled as abstract, execution is incorrectly delegated to an interface default method.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS