CVE-2026-111074
Publiée le 2026-10-21 · Dernière modification le 2026-10-21
Les versions d'Eclipse OpenJ9 antérieures à 0.63.0 sont affectées via le composant JITServer, qui gère les tâches de compilation Just-In-Time pour les machines virtuelles Java. La faille est causée par un dépassement d'entier (integer overflow) lorsque le serveur calcule la mémoire nécessaire pour le champ de longueur d'un message entrant. Cette erreur de calcul force le thread de travail de compilation dans une boucle infinie qui consomme 100 % du CPU.
Un attaquant peut utiliser cela pour provoquer un déni de service complet en ouvrant quelques connexions TCP spécialement conçues, ce qui épuise le pool de threads de travail et interrompt la compilation pour tous les clients. Cette attaque ne nécessite ni authentification, ni interaction de l'utilisateur, ni privilèges spéciaux — seulement un accès réseau au port du JITServer. Bien qu'elle ne compromette pas la confidentialité ou l'intégrité des données, elle neutralise efficacement la disponibilité du service.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In Eclipse OpenJ9 versions prior to 0.63.0, the JITServer component is vulnerable to a pre-authentication remote denial of service. When processing the initial 4-byte length field of an incoming TCP connection, an integer overflow in `MessageBuffer::computeRequiredCapacity()` causes the receiving compilation worker thread to enter an infinite loop consuming ~100% CPU. An unauthenticated remote attacker can exploit this by opening a small number of crafted TCP connections to exhaust the entire worker thread pool, silently halting compilation services for all connected client JVMs.