Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-284

CVE-2016-3427

Oracle Java SE ve JRockit'te JMX kaynaklı uzaktan erişim denetimi açığı

Oracle Java SE and JRockit

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
3842 gün
Kaydı açan
oracle
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 12 May 2023 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 2 Haz 2023.

Yönetici özeti

Eski Java sürümlerini kullanan sistemler internet üzerinden, herhangi bir kullanıcı hesabı gerekmeden ele geçirilebilir. Açığın saldırganlarca fiilen kullanıldığı bilinmektedir, bu nedenle etkilenen sistemlerin gecikmeden güncellenmesi gerekir. Veri kaybı ve hizmet kesintisi riski yüksektir.

ÖzetTürkçe

Oracle Java SE 6u113, 7u99 ve 8u77, Java SE Embedded 8u77 ve JRockit R28.3.9 sürümlerinde JMX ile ilgili, ayrıntıları açıklanmamış bir güvenlik açığı bulunmaktadır. Zafiyet CWE-284 (hatalı erişim denetimi) kategorisinde sınıflandırılmıştır. Kimlik doğrulaması ve kullanıcı etkileşimi gerektirmeden ağ üzerinden istismar edilebilir. Açık, CISA'nın bilinen istismar edilen zafiyetler (KEV) listesinde yer almaktadır.

Saldırgan ne yapabilir?

Uzaktan saldırgan, etkilenen sistemde gizlilik, bütünlük ve erişilebilirlik üzerinde tam etki sağlayabilir. CVSS puanı 9.8 (kritik) olarak değerlendirilmiştir.

Kaynaktaki açıklama (İngilizce)

Unspecified vulnerability in Oracle Java SE 6u113, 7u99, and 8u77; Java SE Embedded 8u77; and JRockit R28.3.9 allows remote attackers to affect confidentiality, integrity, and availability via vectors related to JMX.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Üretici talimatlarına uygun olarak Oracle Java SE, Java SE Embedded ve JRockit için yayımlanan güvenlik güncellemelerini uygulayın. CISA
  2. Ortamınızdaki Java kurulumlarını envanterleyin ve etkilenen sürümleri (6u113, 7u99, 8u77, JRockit R28.3.9) kullanan sistemleri belirleyin. Genel öneri
  3. Dağıtımınızın (Red Hat, Debian, Ubuntu, openSUSE) yayımladığı güvenlik bültenlerini kontrol edip ilgili Java paketlerini güncelleyin. Genel öneri
  4. Güncelleme hemen mümkün değilse JMX uzaktan erişimini kapatın veya yalnızca güvenilir ağlardan erişilebilecek şekilde güvenlik duvarıyla kısıtlayın. Genel öneri

Ek önlemler

  • JMX uzaktan yönetim portlarını internete açmayın; yalnızca yönetim ağından veya VPN üzerinden erişime izin verin. Genel öneri
  • JMX için kimlik doğrulama ve TLS kullanımını zorunlu kılın. Genel öneri
  • Süresi dolmuş ve desteği sona ermiş Java sürümlerini desteklenen güncel sürümlerle değiştirin. Genel öneri
  • Java süreçlerinden gelen olağandışı ağ bağlantılarını ve beklenmeyen alt süreç oluşumunu izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Oracle Java SE and JRockit Sürüm belirtilmemiş –

Kaynaklar27 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.