CVE-2016-8735
KritikAktif istismar ediliyor (CISA KEV)
Açıklama
JmxRemoteLifecycleListener kullanılıyorsa ve bir saldırgan JMX portlarına erişebiliyorsa; 6.0.48 öncesi Apache Tomcat, 7.0.73 öncesi 7.x, 8.0.39 öncesi 8.x, 8.5.7 öncesi 8.5.x ve 9.0.0.M12 öncesi 9.x sürümlerinde uzaktan kod çalıştırma mümkündür. Sorun, bu dinleyicinin kimlik bilgisi türlerini etkileyen CVE-2016-3427 Oracle yamasıyla tutarlı olacak şekilde güncellenmemesinden kaynaklanmaktadır.
ÖnemKritik
CVSS9.8
İstismar olasılığı—
Ürün
Apache Tomcat
Yayın6 Nis 2017
İlk görülme6 Nis 2017
KEV'e eklenme12 May 2023
Nasıl düzeltilir
CISA'nın istediği eylem
Üreticinin yayımladığı güncellemeleri uygulayın.
CISA son tarihi: 2 Haz 2023Güncelleyin
- apache tomcat6.0.48, 7.0.73, 8.0.39, 8.5.7 ya da sonraki bir sürüm
- org.apache.tomcat:tomcat-catalina-jmx-remote6.0.48, 7.0.73, 8.0.39, 8.5.7, 9.0.0.M12 ya da sonraki bir sürüm
- org.apache.tomcat:tomcat-catalina6.0.48, 7.0.73, 8.0.39, 8.5.7, 9.0.0.M12 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache tomcat | v < 6.0.48, 7.0.0 ≤ v < 7.0.73, 8.0 ≤ v < 8.0.39, 8.5.0 ≤ v < 8.5.7, 9.0.0 | 6.0.48, 7.0.73, 8.0.39, 8.5.7 |
| canonical ubuntu_linux | 16.04 | — |
| netapp 7-mode_transition_tool | Aralık belirtilmemiş | — |
| netapp oncommand_insight | Aralık belirtilmemiş | — |
| netapp oncommand_shift | Aralık belirtilmemiş | — |
| netapp snap_creator_framework | Aralık belirtilmemiş | — |
| debian debian_linux | 8.0 | — |
| redhat jboss_enterprise_web_server | 3.0.0 | — |
| oracle agile_engineering_data_management | 6.1.3, 6.2.0, 6.2.1.0 | — |
| oracle agile_product_lifecycle_management | 9.3.5, 9.3.6 | — |
| oracle communications_application_session_controller | 3.7.1, 3.8.0 | — |
| oracle communications_instant_messaging_server | 10.0.1 | — |
| oracle communications_interactive_session_recorder | 6.0, 6.1, 6.2 | — |
| oracle hospitality_guest_access | 4.2.0, 4.2.1 | — |
| oracle micros_relate_crm_software | 10.8, 11.4 | — |
| oracle micros_retail_xbri_loss_prevention | 10.0.1, 10.5.0, 10.6.0, 10.7.7, 10.8.0, 10.8.1 | — |
| oracle mysql_enterprise_monitor | v ≤ 3.2.8.2223, 3.3.0 ≤ v ≤ 3.3.4.3247, 3.4.0 ≤ v ≤ 3.4.2.4181 | — |
| oracle retail_convenience_and_fuel_pos_software | 2.1.132 | — |
| oracle transportation_management | 6.3.0, 6.3.1, 6.3.2, 6.3.3, 6.3.4, 6.3.5, 6.3.6, 6.3.7 | — |
| org.apache.tomcat:tomcat-catalina-jmx-remoteMaven | v < 6.0.48, 7.0.0 ≤ v < 7.0.73, 8.0.0 ≤ v < 8.0.39, 8.5.0 ≤ v < 8.5.7, 9.0.0.M1 ≤ v < 9.0.0.M12 | 6.0.48, 7.0.73, 8.0.39, 8.5.7, 9.0.0.M12 |
| org.apache.tomcat:tomcat-catalinaMaven | v < 6.0.48, 7.0.0 ≤ v < 7.0.73, 8.0.0 ≤ v < 8.0.39, 8.5.0 ≤ v < 8.5.7, 9.0.0.M1 ≤ v < 9.0.0.M12 | 6.0.48, 7.0.73, 8.0.39, 8.5.7, 9.0.0.M12 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.