Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-284

CVE-2016-8735

Apache Tomcat JmxRemoteLifecycleListener üzerinden uzaktan kod çalıştırma açığı

Apache Software Foundation Apache Tomcat

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
3491 gün
Kaydı açan
apache
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 12 May 2023 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 2 Haz 2023.

Yönetici özeti

Bu açık, internet veya iç ağ üzerinden bir saldırganın web sunucusunu ele geçirmesine izin verebilir. Açığın aktif olarak istismar edildiği bilindiği için güncelleme acilen yapılmalıdır. Güncelleme hemen mümkün değilse ilgili yönetim portlarına dışarıdan erişim kapatılmalıdır.

ÖzetTürkçe

Apache Tomcat'te kullanılan JmxRemoteLifecycleListener, CVE-2016-3427 numaralı Oracle yamasıyla uyumlu hale getirilmediği için kimlik bilgisi türlerinde bir erişim denetimi zafiyeti barındırıyor. JMX portlarına erişebilen bir saldırgan, bu dinleyici kullanıldığında uzaktan kod çalıştırabilir. Etkilenen sürümler: 6.0.48 öncesi, 7.x için 7.0.73 öncesi, 8.x için 8.0.39 öncesi, 8.5.x için 8.5.7 öncesi ve 9.x için 9.0.0.M12 öncesi.

Saldırgan ne yapabilir?

Kimlik doğrulaması yapmadan ağ üzerinden JMX portlarına ulaşabilen saldırgan, sunucuda kendi kodunu çalıştırarak sistemin gizlilik, bütünlük ve erişilebilirliğini tamamen tehlikeye atabilir.

Kaynaktaki açıklama (İngilizce)

Remote code execution is possible with Apache Tomcat before 6.0.48, 7.x before 7.0.73, 8.x before 8.0.39, 8.5.x before 8.5.7, and 9.x before 9.0.0.M12 if JmxRemoteLifecycleListener is used and an attacker can reach JMX ports. The issue exists because this listener wasn't updated for consistency with the CVE-2016-3427 Oracle patch that affected credential types.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Apache Tomcat'i düzeltilmiş sürüme yükseltin: 6.0.48, 7.0.73, 8.0.39, 8.5.7 veya 9.0.0.M12 ve sonrası (kullandığınız ana sürüme uygun olanı seçin). Genel öneri
  2. Üretici talimatlarına uygun şekilde güncellemeleri uygulayın (CISA KEV gerekliliği). CISA
  3. Güncelleme hemen yapılamıyorsa JmxRemoteLifecycleListener kullanımını devre dışı bırakın veya JMX portlarına ağ erişimini güvenlik duvarıyla yalnızca güvenilir yönetim adreslerine kısıtlayın. Genel öneri

Ek önlemler

  • JMX portlarını internete açmayın; yönetim arayüzlerine yalnızca VPN veya ayrı bir yönetim ağı üzerinden erişim verin. Genel öneri
  • Sunucularınızdaki Tomcat sürümlerinin envanterini çıkarıp eski sürümleri belirleyin ve düzenli yama takvimi uygulayın. Genel öneri
  • JMX portlarına gelen beklenmeyen bağlantıları ve Tomcat sunucusunda olağan dışı süreç oluşumlarını izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Apache Software Foundation Apache Tomcat Sürüm belirtilmemiş –

Kaynaklar27 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.