Trusted DesignCVE-2016-3427 の詳細
CVEの情報
説明:
Unspecified vulnerability in Oracle Java SE 6u113, 7u99, and 8u77; Java SE Embedded 8u77; and JRockit R28.3.9 allows remote attackers to affect confidentiality, integrity, and availability via vectors related to JMX.
CVE更新日: 2016-04-21 11:00:21.667000
CVSSバージョン: 3.1
CVSSスコア: 9.8
KEVの情報
KEV更新日: 2023-05-12
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.923340000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2016-3427に関する脆弱性調査結果を以下に解説します。
1. 脆弱性の概要
Oracle Java SE、Java SE Embedded、およびJRockitのJMXコンポーネントにおける、RMIサーバーの実装に起因する脆弱性です。認証資格情報のデシリアライズ時に、デシリアライズできるクラスが制限されていないことが原因です。これにより、リモートの認証されていない攻撃者がJMXポートに接続することで、デシリアライズの欠陥を誘発する可能性があります。
1.1 影響 リモートの攻撃者によって、機密性、完全性、および可用性に影響が及ぶ可能性があります。 攻撃が成功した場合、一部のデータへの不正な読み取りアクセス、または完全なサービス拒否（ハングアップや頻繁なクラッシュ）が発生する可能性があります。 Red Hatは、「データの機密性、完全性、および可用性への影響の可能性」と述べています。
1.2 深刻度 * CVSS v3.0 ベーススコア: 9.8 (緊急) * 攻撃元区分: ネットワーク * 攻撃条件の複雑さ: 低 * 攻撃に必要な特権レベル: 不要 * 利用者の関与: 不要 * 影響の想定範囲: 変更なし * 機密性への影響: 高 * 完全性への影響: 高 * 可用性への影響: 高 * CVSS v2.0 ベーススコア: 9.0 (危険) (Oracleによる評価) * OracleのCVSS v2ベクトル: Network, High, None, None, Changed, High, High, High * Red HatのCVSS v2ベクトル: AV:N/AC:M/Au:N/C:P/I:P/A:P
2. 対象となる環境
2.1 影響を受けるOSバージョン * Oracle Java SE: 6u113、7u99、8u77 * Java SE Embedded: 8u77 * JRockit: R28.3.9 * Red Hat Enterprise Linux向けOracle Java: Red Hat Enterprise Linux 5, 6, 7 の java-1.6.0-sun, java-1.7.0-oracle, java-1.8.0-oracle パッケージ * 日立製品: Cosminexus Developer's Kit for Java(TM)、Hitachi Application Server、Hitachi Application Server for Developers、Hitachi Developer's Kit for Java、uCosminexus Application Server -R、uCosminexus Application Server Express、uCosminexus Application Server for Developers、uCosminexus Client、uCosminexus Service Platform、uCosminexus Service Platform -R、uCosminexus Service Platform Development Kit、uCosminexus Service Platform Standard Edition、uCosminexus Service Platform Standard Edition for Developers、uCosminexus Service Platform -R for Developers * Apache Tomcat: JmxRemoteLifecycleListenerのパッチが適用されていないため、以下のバージョンが影響を受けます。 * Apache Tomcat 9.0.0.M1 から 9.0.0.M11 * Apache Tomcat 8.5.0 から 8.5.6 * Apache Tomcat 8.0.0.RC1 から 8.0.38 * Apache Tomcat 7.0.0 から 7.0.72 * Apache Tomcat 6.0.0 から 6.0.47
2.2 影響を受ける設定 本脆弱性はJMXコンポーネントのRMIサーバー実装に関連しています。JMXが有効であり、ネットワーク経由で公開されている場合、脆弱性の影響を受ける可能性があります。 特に、Apache TomcatのJmxRemoteLifecycleListenerが適切に設定またはパッチ適用されていない場合に影響を受けます。 認証なしにリモートから悪用可能です。
3. 影響を受けた時の兆候
具体的な影響を受けた際の兆候は明示的に記述されていませんが、脆弱性の性質（デシリアライズを介したリモートコード実行、機密性・完全性・可用性への影響）から、以下の兆候が考えられます。 * 機密データへの不正アクセス * 予期しないシステム動作やクラッシュ（サービス拒否） * 不正なコードの実行 * JMXポートへの不審なネットワークトラフィック * JMXまたはRMIに関連するログの異常
4. 推奨対策
4.1 本対策 * Oracleが提供する2016年4月のCritical Patch Update (CPU) を適用してください。 影響を受けるバージョン（6u113、7u99、8u77）より新しい修正済みのバージョン（例: JDK/JRE 6u115、7u101、8u91以降）にアップデートする必要があります。 * Red Hat Enterprise Linuxを利用している場合、RHSA-2016:0677、RHSA-2016:0678、RHSA-2016:0679 のセキュリティエラッタを適用してください。 * Apache Tomcatを使用している場合、CVE-2016-3427の修正を含むバージョン（例: Apache Tomcat 9.0.0.M12、8.5.7、8.0.39、7.0.73、6.0.48以降）にアップデートしてください。
4.2 暫定回避策（緩和策） * JMXポートへのアクセスを信頼できるネットワークまたはホストに制限する（例: ファイアウォールによる制限）ことで、攻撃対象領域を限定できます。 * JMXのパスワード認証を変更することを強く推奨します。 * 厳密に必要でない限り、JMXを無効にすることを検討してください。
参照したサイト