CVE-2016-8735criticalbajo ataque

CVE-2016-8735: fallo crítico en Apache Tomcat

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Apache Tomcat+ Monitorear org.apache.tomcat:tomcat-catalina

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 9.8epss 90%
de la publicación al arma1028 días
Publicada en NVD6 abr
1ª PoC+1028d
CISA KEV+2227d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
2 productos (16 componentes)
Red Hat JBoss Enterprise Web Server 2 · Red Hat JBoss Web Server 3
no_fix_planned: Will not fix
Corregido
3 productos (99 componentes)
Red Hat JBoss Web Server 3.1 for RHEL 6 · Red Hat JBoss Web Server 3.1 for RHEL 7 · Red Hat JBoss Web Server 3.1
corrección ↗
No afectado
11 productos (35 componentes) — porque el código vulnerable no está presente en el producto
Red Hat Enterprise Linux 6 · Red Hat Enterprise Linux 7 · Red Hat Software Collections · Red Hat Enterprise Linux 5 · Red Hat JBoss Data Grid 6 · y otros 6
Acción exigida por CISAplazo federal: 2023-06-02

Apply updates per vendor instructions.

En resumen

Apache Tomcat permite que los atacantes ejecuten código malicioso de forma remota si el monitoreo JMX está habilitado y el atacante puede acceder a los puertos JMX. La falla ocurre porque Tomcat no aseguró adecuadamente el manejo de credenciales en su función de monitoreo.

Detalle técnico

Vulnerabilidad de ejecución remota de código en JmxRemoteLifecycleListener de Apache Tomcat afecta versiones anteriores a 6.0.48, 7.0.73, 8.0.39, 8.5.7 y 9.0.0.M12. Requiere puertos JMX accesibles y JmxRemoteLifecycleListener habilitado; la vulnerabilidad proviene de validación inconsistente de tipos de credencial respecto al parche CVE-2016-3427 de Oracle. Un atacante sin autenticación con acceso a la red a los puertos JMX puede lograr ejecución arbitraria de código en el servidor.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Remote code execution is possible with Apache Tomcat before 6.0.48, 7.x before 7.0.73, 8.x before 8.0.39, 8.5.x before 8.5.7, and 9.x before 9.0.0.M12 if JmxRemoteLifecycleListener is used and an attacker can reach JMX ports. The issue exists because this listener wasn't updated for consistency with the CVE-2016-3427 Oracle patch that affected credential types.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Apache Software Foundation · Apache Tomcat
PoCs públicas encontradas — 1
githubgithub.com/ianxtianxt/CVE-2016-8735★ 0
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Apache Tomcat

En el mismo producto, de las más peligrosas a las menos.

CVE-2017-12617HIGHCVE-2017-12617EPSS 100.0%KEVCVE-2025-24813CRITICALApache Tomcat: Potential RCE and/or information disclosure and/or information corruption with partial PUTEPSS 99.9%KEVCVE-2017-12615HIGHCVE-2017-12615EPSS 99.7%KEVCVE-2026-34486HIGHApache Tomcat: Fix for CVE-2026-29146 allowed bypass of EncryptInterceptorEPSS 98.5%KEVCVE-2018-11784—CVE-2018-11784EPSS 97.7%CVE-2021-33037—Incorrect Transfer-Encoding handling with HTTP/1.0EPSS 74.7%