Переполнение буфера и обход аутентификации затрагивают линейки Hitachi HiRDB, JP1 и Cosminexus

Hitachi 27 октября 2026 года опубликовала серию уведомлений об уязвимостях в СУБД HiRDB (система управления базами данных), платформе управления ИТ-операциями JP1 и серверной платформе Cosminexus. Часть проблем связана с переполнением буфера, часть приводит к обходу проверки подлинности и внедрению команд. Эксплуатация позволяет выполнить код на сервере либо получить доступ к функциям без учётных данных. Затронуты серверные ветки HiRDB 9 и 10, компоненты JP1 нескольких поколений и среда разработки Cosminexus Developer's Kit for Java.

Оценки CVSS и условия эксплуатации в HiRDB и JP1

Основная часть проблем относится к переполнению буфера, то есть записи данных за границы заранее выделенной области памяти. Такая запись позволяет перехватить управление программой и выполнить чужой код. Рядом стоят обход проверки подлинности и внедрение команд операционной системы, когда запрос исполняется без учётных данных. По условиям атаки большинство случаев сетевые, аутентификация и участие пользователя не нужны. Оценку серьёзности вендор приводит по шкале CVSS, где 10 - максимум.

Серверная СУБД HiRDB

В HiRDB проблемы сосредоточены в серверной части. Отдельные уведомления описывают отсутствие проверки подлинности при обращении к критичной функции и обход аутентификации через подмену. Оценка по CVSS для обхода аутентификации CVE-2026-82117 - 9.8 из 10, критический уровень. К этим же выпускам относятся переполнение буфера в стеке и в куче, а также внедрение команд операционной системы. Стек и куча - области памяти, где программа хранит рабочие данные.

Часть проблем проявляется только при определённой конфигурации. Ошибка проверки источника с оценкой 7.5 из 10 касается Windows-сборок с переключением систем при отказе без наследования IP-адреса, а также HiRDB/Parallel Server на Windows. Переполнение стека требует включённой функции удалённой оболочки. В остальных конфигурациях, по данным вендора, эти уязвимости не применимы.

Исправления вышли для ветки HiRDB Server Version 10 на AIX, Linux и Windows: версии 10-12-01, 10-11-02 и 10-08-05. Для ветки Version 9 исправленных версий в уведомлении нет, сведения о них Hitachi предлагает получать в службе поддержки.

Линейка JP1

В JP1/Base закрыто переполнение буфера в куче CVE-2026-86574 с оценкой 9.8 из 10. Исправленные версии - 12-50-54 и 11-50-36. В JP1/Automatic Job Management System 3 к переполнению стека и кучи добавился обход аутентификации. Там исправлены ветки 13-50, 12-60 и 11-50, то есть версии 13-50-31, 12-60-53 и 11-50-39.

Проблемы в JP1/IT Desktop Management 2 - Manager и Operations Director оцениваются от низкого до высокого уровня. Одна из них, с оценкой 7.3 из 10, требует локального доступа и участия пользователя. Другие дают отказ в обслуживании или искажение данных, часть проходит по сети без учётных данных.

Исправления для JP1/IT Desktop Management 2 - Manager и Operations Director - версии 13-50-06 и 12-60-13. Для JP1/IT Desktop Management 2 - Smart Device Manager выпущена версия 12-00-11. В сводном перечне затронутых продуктов также значатся JP1/Automatic Job Management 2 - Manager и JP1/Automatic Job Management 2 - Smart Device Manager, отдельных исправлений для них в уведомлениях нет.

Платформа Cosminexus

В Cosminexus Developer's Kit for Java и Hitachi Developer's Kit for Java вошли уязвимости компонентов Java. Hitachi указывает, что эти наборы входят в состав других её продуктов, поэтому проблема выходит за рамки одной платформы. Исправленные версии Cosminexus Developer's Kit for Java - 11-70-02, 11-60-02, 11-40-08, 11-30-08 и 09-87-46 в зависимости от платформы. Для Hitachi Developer's Kit for Java срок выпуска исправления не назван, за деталями вендор отсылает в службу поддержки.

По версиям Cosminexus V9 старше 09-87 сведения не раскрываются из-за окончания поддержки платформы. Страницы Cosminexus обновлялись несколько раз, поэтому списки исправленных версий могут дополниться.

В сводном перечне Hitachi также указана прошивка TRO600 Series: затронуты версии до 9.2.2.1.

Сведений об эксплуатации этих уязвимостей в реальных атаках уведомления не содержат. Публикация технических описаний означает раскрытие деталей, но не подтверждает использование в атаках. Обходных мер Hitachi не приводит, поэтому остаётся установка исправленных версий либо обращение в службу поддержки, если нужной ветки нет в списке.

Практическая значимость выше у HiRDB и JP1/Base. Там переполнение буфера и обход аутентификации доступны по сети без учётных данных, так что обновление этих систем планируют в первую очередь.

Оценки CVSS и условия эксплуатации в HiRDB и JP1

Серверная СУБД HiRDB

Линейка JP1

Платформа Cosminexus

Ссылки