FICHE CVE

CVE-2016-6797

Publiée le 2017-08-10 · Dernière modification le 2026-10-08

🇫🇷 EN BREF

Les serveurs Apache Tomcat utilisant des versions anciennes sont affectés par une faille dans la manière dont ils gèrent les liens vers les ressources globales. Un attaquant capable de déployer ou de contrôler une application web sur le serveur peut accéder à n'importe quelle ressource JNDI globale, exposant potentiellement des données de configuration sensibles ou des identifiants. Cela peut être effectué à distance, sans authentification ni interaction de l'utilisateur.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

Autorisation incorrecte · CWE-863

Publiée2017-08-10

Dernière modification2026-10-08

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

The ResourceLinkFactory implementation in Apache Tomcat 9.0.0.M1 to 9.0.0.M9, 8.5.0 to 8.5.4, 8.0.0.RC1 to 8.0.36, 7.0.0 to 7.0.70 and 6.0.0 to 6.0.45 did not limit web application access to global JNDI resources to those resources explicitly linked to the web application. Therefore, it was possible for a web application to access any global JNDI resource whether an explicit ResourceLink had been configured or not.