CRITICAL🚩 CISA KEV⚡ EXPLOIT✓ PATCH🇬🇧 English

CVE-2016-8735

Apache Tomcat RCE przez JmxRemoteLifecycleListener (JMX)

CVSS 9.8v3.1pub. 2017-04-06upd. 2026-08-25

Podatność w Apache Tomcat umożliwia zdalne wykonanie kodu (RCE) przez niezabezpieczone porty JMX, jeśli skonfigurowany jest listener JmxRemoteLifecycleListener. Luka jest aktywnie wykorzystywana i uzyskała krytyczny wynik CVSS 9.8.

▸ Pokaż oryginał (EN)

Remote code execution is possible with Apache Tomcat before 6.0.48, 7.x before 7.0.73, 8.x before 8.0.39, 8.5.x before 8.5.7, and 9.x before 9.0.0.M12 if JmxRemoteLifecycleListener is used and an attacker can reach JMX ports. The issue exists because this listener wasn't updated for consistency with the CVE-2016-3427 Oracle patch that affected credential types.

🤖 Analiza AI

Jak działa

Problem wynika z tego, że komponent JmxRemoteLifecycleListener nie został zaktualizowany o poprawkę Oracle dotyczącą obsługi typów poświadczeń (CVE-2016-3427). Atakujący, który ma dostęp sieciowy do portów JMX eksponowanych przez Tomcat, może wykorzystać niespójność w mechanizmie uwierzytelniania JMX i wysłać spreparowane dane uwierzytelniające. W rezultacie możliwe jest zdalne wykonanie dowolnego kodu na serwerze bez konieczności posiadania wcześniejszego uwierzytelnienia.

Skutki

Atakujący może zdalnie wykonać dowolny kod na serwerze (RCE), co prowadzi do pełnego przejęcia kontroli nad systemem, wycieku danych oraz naruszenia integralności i dostępności usługi.

Mitygacja

Należy zaktualizować Apache Tomcat do wersji 6.0.48 lub nowszej, 7.0.73 lub nowszej, 8.0.39 lub nowszej, 8.5.7 lub nowszej albo 9.0.0.M12 lub nowszej. Jeśli aktualizacja nie jest natychmiast możliwa, należy wyłączyć JmxRemoteLifecycleListener lub zablokować dostęp do portów JMX na poziomie firewall, ograniczając go wyłącznie do zaufanych hostów administracyjnych.

Kogo dotyczy

Apache Tomcat w wersjach przed 6.0.48, 7.x przed 7.0.73, 8.x przed 8.0.39, 8.5.x przed 8.5.7 oraz 9.x przed 9.0.0.M12 — wyłącznie gdy skonfigurowany jest JmxRemoteLifecycleListener i porty JMX są dostępne sieciowo.

Uwagi

Podatność jest bezpośrednio powiązana z brakiem zastosowania poprawki Oracle CVE-2016-3427 w komponencie JmxRemoteLifecycleListener. Dostępna jest poprawka Red Hat (RHSA-2017-0457). Luka figuruje w katalogu CISA KEV jako aktywnie eksploitowana.

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Apache Tomcat
APP
Apache
9.0.0< 6.0.487.0.0 – 7.0.73 (bez)8.0 – 8.0.39 (bez)8.5.0 – 8.5.7 (bez)
Canonical Ubuntu
OS
Canonical
16.04
Debian
OS
Debian
8.0
Netapp 7 Mode Transition Tool
APP
Netapp
wszystkie wersje
Netapp Oncommand Insight
APP
Netapp
wszystkie wersje
Netapp Oncommand Shift
APP
Netapp
wszystkie wersje
Netapp Snap Creator Framework
APP
Netapp
wszystkie wersje
Oracle Agile Engineering Data Management
APP
Oracle
6.1.36.2.06.2.1.0
Oracle Agile Product Lifecycle Management
APP
Oracle
9.3.59.3.6
Oracle Communications Application Session Controller
APP
Oracle
3.7.13.8.0
Oracle Communications Instant Messaging Server
APP
Oracle
10.0.1
Oracle Communications Interactive Session Recorder
APP
Oracle
6.06.16.2
Oracle Hospitality Guest Access
APP
Oracle
4.2.04.2.1
Oracle Micros Relate Crm Software
APP
Oracle
10.811.4
Oracle Micros Retail Xbri Loss Prevention
APP
Oracle
10.0.110.5.010.6.010.7.710.8.010.8.1
Oracle MySQL Enterprise Monitor
APP
Oracle
3.3.0 – 3.3.4.3247≤ 3.2.8.22233.4.0 – 3.4.2.4181
Oracle Retail Convenience And Fuel Pos Software
APP
Oracle
2.1.132
Oracle Transportation Management
APP
Oracle
6.3.06.3.16.3.26.3.36.3.46.3.56.3.66.3.7
Red Hat Jboss Enterprise Web Server
APP
Redhat
3.0.0

CISA KEV — szczegółyi

Dostawcai: Apache ↗
Produkti: Tomcat
Data dodania do KEVi: 12 maja 2023
Termin remediation (USA)i: 2 czerwca 2023(po terminie)

🔧Advisory Apache↗🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj aktualizacje zgodnie z instrukcjami producenta.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply updates per vendor instructions.

Opis CISAi

Apache Tomcat zawiera niezdefiniowaną lukę, która pozwala na zdalne wykonanie kodu (RCE), jeśli używany jest JmxRemoteLifecycleListener i atakujący może dotrzeć do portów Java Management Extension (JMX). Ta CVE istnieje, ponieważ ten listener nie został zaktualizowany dla spójności z poprawkami Oracle dotyczącymi CVE-2016-3427, która wpłynęła na typy uwierzytelniających.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apache Tomcat contains an unspecified vulnerability that allows for remote code execution if JmxRemoteLifecycleListener is used and an attacker can reach Java Management Extension (JMX) ports. This CVE exists because this listener wasn't updated for consistency with the Oracle patched issues for CVE-2016-3427 which affected credential types.

🔴