CVE Intelligence
CISA KEV Crítica Controle de acesso

CVE-2016-3427 — Oracle Java SE and JRockit Unspecified Vulnerability

Unspecified vulnerability in Oracle Java SE 6u113, 7u99, and 8u77; Java SE Embedded 8u77; and JRockit R28.3.9 allows remote attackers to affect confidentiality, integrity, and availability via vectors related to JMX.

Descrição oficial em inglês (tradução ainda não revisada).

Publicada em 21/04/2016 · Atualizada em 13/10/2026 · Fontes: CISA Known Exploited Vulnerabilities, NIST National Vulnerability Database, CVE Program (cve.org) e CISA ADP, GitHub Security Advisories · CNA: oracle

Quem explora e qual a prioridade

Nota de 0 a 100 que combina exploração confirmada, uso por ransomware e grupos APT, exploits públicos, EPSS e severidade.

CISA KEV · 12/05/2023
Como a nota foi calculada
  • Exploração confirmada (CISA KEV)+35
  • EPSS 92.3% (probabilidade de exploração em 30 dias)+15
  • Severidade técnica (critical)+10
  • Exploração automatizável (SSVC)+3

A nota ordena a fila de correção; não substitui o contexto dos seus ativos (exposição à internet, criticidade, compensações).

Triagem

Está sendo explorada, qual a probabilidade de exploração, o que afeta e qual a severidade segundo as fontes.

Exploração
Confirmada
CISA KEV, listada em 12/05/2023
EPSS FIRST
92,33%
à frente de 100% das CVEs pontuadas · 14/10/2026
Afeta
Apache Software Foundation
Cassandra e mais 37
CVSS base
9.8
Crítica · 4 fonte(s)

Avaliação SSVC da CISA CISA

Três pontos de decisão que a CISA publica para as CVEs que avalia (SSVC 2.0.3). Uma decisão de priorização, não uma nota de severidade.

Exploração
Ativa
nenhuma · prova de conceito · ativa
Automatizável
Sim
se um atacante consegue automatizar as etapas da cadeia de ataque
Impacto técnico
Total
parcial · controle total do componente vulnerável

Remediação

Correções e mitigações documentadas pelas fontes — com link para o aviso original.

Ação exigida pela CISA CISA

Apply updates per vendor instructions.

Prazo federal (EUA): 02/06/2023 — vencido há 1231 dia(s)

Primeiras 24 horas

Ordenado a partir dos próprios campos do registro — exposição primeiro, porque não se corrige o que não se encontrou. Ponto de partida, gerado por regras.

  1. Identifique ativos expostos que executam as combinações de fabricante/produto/versão afetadas (Apache Software Foundation Cassandra, Canonical Ubuntu Linux, Debian Debian Linux…).
  2. Trate como remediação emergencial: a CVE está na CISA KEV (exploração confirmada).
  3. O ataque é pela rede e não exige privilégios: restrinja a exposição (ACLs, VPN, WAF) até corrigir.
  4. Aplique a versão corrigida ou o patch documentado na seção Remediação.
  5. EPSS acima de 100% das CVEs pontuadas: priorize na fila de correção.
  6. Procure nos logs disponíveis sinais de tentativa de exploração compatíveis com a classe da falha (controle de acesso), erros e anomalias de autenticação.

Escopo afetado

Fabricante, produto e versões como as fontes os descrevem.

FabricanteProdutoVersõesStatusFonte
Apache Software Foundation Cassandra versão 4.0.0-beta1≥ 3.11.0 e < 3.11.8≥ 3.0.0 e < 3.0.22≥ 2.2.0 e < 2.2.18≥ 2.1.0 e < 2.1.22 Vulnerável NIST National Vulnerability Database
Canonical Ubuntu Linux versão 12.04versão 14.04versão 15.10versão 16.04 Vulnerável NIST National Vulnerability Database
Debian Debian Linux versão 8.0 Vulnerável NIST National Vulnerability Database
Netapp E-series Santricity Management Plug-ins versões não especificadas pela fonte Vulnerável NIST National Vulnerability Database
Netapp E-series Santricity Storage Manager versões não especificadas pela fonte Vulnerável NIST National Vulnerability Database
Netapp E-series Santricity Web Services versões não especificadas pela fonte Vulnerável NIST National Vulnerability Database
Netapp Oncommand Balance versões não especificadas pela fonte Vulnerável NIST National Vulnerability Database
Netapp Oncommand Cloud Manager versões não especificadas pela fonte Vulnerável NIST National Vulnerability Database
Netapp Oncommand Insight versões não especificadas pela fonte Vulnerável NIST National Vulnerability Database
Netapp Oncommand Performance Manager versões não especificadas pela fonte Vulnerável NIST National Vulnerability Database
Netapp Oncommand Report versões não especificadas pela fonte Vulnerável NIST National Vulnerability Database
Netapp Oncommand Shift versões não especificadas pela fonte Vulnerável NIST National Vulnerability Database
Netapp Oncommand Unified Manager versões não especificadas pela fonte Vulnerável NIST National Vulnerability Database
Netapp Oncommand Workflow Automation versões não especificadas pela fonte Vulnerável NIST National Vulnerability Database
Netapp Storagegrid ≤ 9.0.4 Vulnerável NIST National Vulnerability Database
Netapp Vasa Provider For Clustered Data Ontap ≥ 7.2 Vulnerável NIST National Vulnerability Database
Netapp Virtual Storage Console ≥ 7.2 Vulnerável NIST National Vulnerability Database
Opensuse Leap versão 42.1 Vulnerável NIST National Vulnerability Database
Opensuse Opensuse versão 13.2versão 13.1 Vulnerável NIST National Vulnerability Database
Oracle Jdk versão 1.8.0-update77versão 1.7.0-update99versão 1.6.0-update113 Vulnerável NIST National Vulnerability Database
Oracle Jre versão 1.8.0-update77versão 1.7.0-update99versão 1.6.0-update113 Vulnerável NIST National Vulnerability Database
Oracle Jrockit versão r28.3.9 Vulnerável NIST National Vulnerability Database
Oracle Linux versão 7versão 6versão 5 Vulnerável NIST National Vulnerability Database
Red Hat Enterprise Linux Desktop versão 5.0versão 6.0versão 7.0 Vulnerável NIST National Vulnerability Database
Red Hat Enterprise Linux Eus versão 7.2versão 6.7versão 7.3versão 7.4versão 7.5versão 7.6versão 7.7 Vulnerável NIST National Vulnerability Database
Red Hat Enterprise Linux Server versão 6.0versão 5.0versão 7.0 Vulnerável NIST National Vulnerability Database
Red Hat Enterprise Linux Server Aus versão 7.7versão 7.6versão 7.4versão 7.3versão 7.2 Vulnerável NIST National Vulnerability Database
Red Hat Enterprise Linux Server Eus versão 6.7versão 7.2 Vulnerável NIST National Vulnerability Database
Red Hat Enterprise Linux Server Tus versão 7.7versão 7.6versão 7.3versão 7.2 Vulnerável NIST National Vulnerability Database
Red Hat Enterprise Linux Workstation versão 6.0versão 7.0versão 5.0 Vulnerável NIST National Vulnerability Database
Red Hat Satellite versão 5.7versão 5.6 Vulnerável NIST National Vulnerability Database
SUSE Linux Enterprise Desktop versão 12-sp1versão 12 Vulnerável NIST National Vulnerability Database
SUSE Linux Enterprise Module For Legacy versão 12 Vulnerável NIST National Vulnerability Database
SUSE Linux Enterprise Server versão 12-sp1versão 12versão 11-sp4versão 11-sp3versão 11-sp2versão 10-sp4 Vulnerável NIST National Vulnerability Database
SUSE Linux Enterprise Software Development Kit versão 12-sp1versão 11-sp4 Vulnerável NIST National Vulnerability Database
SUSE Manager versão 2.1 Vulnerável NIST National Vulnerability Database
SUSE Manager Proxy versão 2.1 Vulnerável NIST National Vulnerability Database
SUSE Openstack Cloud versão 5 Vulnerável NIST National Vulnerability Database

Características do ataque

O vetor CVSS decodificado. Descreve o ataque, não a sua exposição a ele.

Vetor de ataque
Rede
Complexidade
Baixa
Privilégios exigidos
Nenhum
Interação do usuário
Nenhuma
Escopo
Inalterado
Confidencialidade
Alto
Integridade
Alto
Disponibilidade
Alto

Todas as pontuações coletadas

As fontes pontuam de forma independente e podem discordar; cada linha diz quem pontuou e em qual versão.

NotaVersãoSeveridadeExplor.ImpactoPontuado por
9.8 CVSS 3.1 Crítica 3.9 5.9 nvd@nist.gov via NIST National Vulnerability Database
9.8 CVSS 3.1 Crítica 3.9 5.9 134c704f-9b21-4f2e-91b3-4a467353bcc0 via NIST National Vulnerability Database
9.8 CVSS 3.1 Crítica — — CISA-ADP via CVE Program (cve.org) e CISA ADP
9.0 CVSS 3.0 Crítica — — GitHub, Inc. via GitHub Security Advisories
10.0 CVSS 2.0 Alta 10.0 10.0 nvd@nist.gov via NIST National Vulnerability Database
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (nota exibida no topo: nvd@nist.gov)
As fontes atribuem notas diferentes dentro da mesma faixa de severidade. Para priorização, usamos 9.8 (NVD (NIST)) como referência conservadora provisória — não é uma nota oficial definitiva.

Fraqueza MITRE

Classe de fraqueza segundo o catálogo CWE do MITRE.

CWE-284 · Improper Access Control

Outras CVEs com esta fraqueza →

Detalhes da CISA KEV CISA

A CISA inclui uma CVE no catálogo quando há evidência de exploração contra alvos reais.

Listada
12/05/2023
Prazo federal
02/06/2023
vencido há 1231 dia(s)
Uso por ransomware
Desconhecido

A CISA registra uso por ransomware apenas em campanhas confirmadas: "Desconhecido" significa não registrado, não descartado. O prazo vincula agências federais dos EUA; para os demais, é uma referência.

EPSS ao longo do tempo FIRST

12/10/2026 → 14/10/2026 · 3 leitura(s) · máximo 92.33%

Detecção

Derivado do vetor CVSS e da classe da fraqueza. Pontos de partida, não regras testadas.

  • Priorize telemetria de borda para o componente exposto na rede (proxy, WAF, IDS/IPS).
  • Audite ações administrativas e acessos a recursos fora do padrão do usuário.
  • Faça busca retroativa nos logs desde antes de 12/05/2023 (inclusão na KEV): a exploração pode ter começado antes.
logs web/proxy/WAFIDS/IPS de redelogs de autenticaçãologs da aplicação

Linha do tempo

O que aconteceu com esta CVE, do mais recente ao mais antigo.

  • 2026
  • Avaliação SSVC atualizada
    13/10/2026 · CVE Program (cve.org) e CISA ADP
  • Ficha publicada
    13/10/2026
  • Correção documentada
    13/10/2026 · NIST National Vulnerability Database
  • Produtos afetados adicionados · oracle/jdk, oracle/jre, oracle/jrockit, oracle/linux, canonical/ubuntu linux, debian/debian linux, netapp/e-series santr
    13/10/2026 · NIST National Vulnerability Database
  • CVSS alterado · 9.8
    13/10/2026 · NIST National Vulnerability Database
  • Status na fonte alterado · → Analyzed
    13/10/2026 · NIST National Vulnerability Database
  • Adicionada à CISA KEV (detectado)
    13/10/2026 · CISA Known Exploited Vulnerabilities
  • Registro criado nesta base
    13/10/2026 · CISA Known Exploited Vulnerabilities
  • 2023
  • Incluída no catálogo CISA KEV
    11/05/2023 · CISA
  • 2016
  • CVE publicada
    21/04/2016 · oracle

Atividade das fontes

Leituras que se repetem foram contadas em vez de listadas.

  • 2× Referências adicionadas · 13/10/2026 – 13/10/2026
  • 1× Descrição oficial atualizada · 13/10/2026 – 13/10/2026

Referências

79 no registro

Em outras páginas do site

Apache Software Foundation
todas as CVEs deste fabricante
2023-05
o que mais a CISA listou no mês
Controle de acesso
mesma classe
CWE-284
outras páginas com esta fraqueza

CVEs relacionadas (mesmos produtos)

  • CVE-2026-12544 Foreman: ssti and insecure deserialization in foreman-rake configuration 14 d
  • CVE-2026-12541 Foreman: command injection in foreman-rake database tasks 14 d
  • CVE-2026-12540 Foreman: command injection in foreman-rake errors:fetch_log via request_id parameter 14 d
  • CVE-2026-12423 Foreman: unauthenticated information disclosure via provisioning token validation flaw 14 d
  • CVE-2026-81658 Foreman: cross-tenant disclosure of template revisions via unauthorized audit lookup 27/08/2026
  • CVE-2026-42169 Gimp: gimp apng loader heap-buffer-overflow when fctl width exceeds ihdr width (file-png.c) 04/08/2026

Não consta em nenhuma fonte consultada

Listado em vez de deixado em branco: um campo vazio e um não medido parecem iguais na tela, e só um deles é motivo para procurar em outro lugar.

  • Nenhum IOC confirmado (IPs, domínios, hashes ou artefatos de malware) fornecido.
  • Nenhum inventário de ativos, controle compensatório ou evidência de implantação de patch da sua organização.
  • Nenhuma captura de tráfego de exploração, amostra de log ou caso de incidente.

Respondido a partir deste registro

Texto montado apenas com os campos acima — sem afirmações adicionais.

O que os defensores devem saber primeiro?

CVE-2016-3427 é "Oracle Java SE and JRockit Unspecified Vulnerability", de severidade Crítica. Afeta Cassandra (Apache Software Foundation); as versões estão na tabela de escopo. Está na CISA KEV: há evidência de exploração real. CVSS 9.8 descreve a severidade técnica. EPSS 92.33% estima a probabilidade de exploração em 30 dias; nenhum dos dois substitui o contexto dos seus ativos. Verifique primeiro se ativos expostos ou críticos executam as versões afetadas, aplique as correções ou mitigações do fabricante e preserve logs para análise.

Comentários

Discussão técnica moderada. Leia as regras da comunidade.

Nenhum comentário ainda.

Entre ou crie uma conta para comentar e sugerir correções.