CVE-2011-3556
| Affected software | 3 products, listed below |
|---|---|
| Severity | 7.5 High CVSS 2.0 |
| Published | 19 Oct 2011 |
| Updated | 16 Jun 2026 |
Description
Unspecified vulnerability in the Java Runtime Environment component in Oracle Java SE JDK and JRE 7, 6 Update 27 and earlier, 5.0 Update 31 and earlier, 1.4.2_33 and earlier, and JRockit R28.1.4 and earlier allows remote attackers to affect confidentiality, integrity, and availability, related to RMI, a different vulnerability than CVE-2011-3557.
Exploitation status
Working exploit published
A reviewed exploit catalogue lists ready-to-run exploit code for this CVE.
Exploitation status
- CISA KEV not listed
- VulnCheck KEV not listed
- CISA Vulnrichment no assessment published
- Indexed PoC 3 indexed Published artifacts you can open, in Exploit-DB, GitHub PoC, Metasploit; first seen 2011-07-15.
- EPSS 76% chance in 30 days A model's forecast, not a report of exploitation. Higher than 99.5% of all scored CVEs.
| Index | Artifact | Stars | First seen |
|---|---|---|---|
| GitHub PoC | Python 3 implementation of an existing CVE-2011-3556 proof of concept (PoC). | 1 | 2019-01-29 |
| Exploit-DB | Java RMI - Server Insecure Default Configuration Java Code Execution (Metasploit) | 2011-07-15 | |
| Metasploit | Java RMI Server Insecure Default Configuration Java Code Execution (excellent rank) |
Waratek protection
Waratek has a rule that blocks attacks on this vulnerability.
- Protection full
- Action available security rule
- Review human Researcher
- Record active
| Decided by | Manual classification of this CVE in the legacy dataset |
|---|---|
| Finding | A manual classification set this CVE's status to Protected by Waratek. |
How to mitigate CVE-2011-3556
Apply the vendor's fix. Until you can, Waratek RASP blocks exploitation with a security rule that blocks this kind of attack. It runs inside the Java application, with no code changes.
Waratek RASP Runtime protection for Java applications
Affected software and releases
Oracle advisories
| Advisory | Type | Quarter | Products Oracle names in its risk matrix |
|---|---|---|---|
| Java SE CPU Oct 2011 ↗ | CPU | 2011-Q4 | Oracle JDK, JRE and JRockit / Java Runtime Environment (JDK and JRE 7, 6 Update 27 and before, 5.0 Update 31 and before, 1.4.2_33 and before. JRockit R28.1.4 and before) Oracle's note: Applies to RMI server deployments of Java. |
Oracle components and versions
| Family | Component | Versions, as Oracle lists them | Read as |
|---|---|---|---|
| Oracle JDK, JRE and JRockit | Java Runtime Environment | JDK and JRE 7, 6 Update 27 and before, 5.0 Update 31 and before, 1.4.2_33 and before. JRockit R28.1.4 and before | 7 |
Products and versions
3 products, 192 version entries| Source | Vendor | Product | Scheme | Affected versions |
|---|---|---|---|---|
| nvd | oracle | jrockit | generic | r28.0.0 · r28.0.1 · r28.0.2 · r28.1.0 · r28.1.1 · r28.1.3 · ≤ 28.1.4 |
| nvd | sun | jdk | javase | 1.4.2 · 1.4.2_1 · 1.4.2_2 · 1.4.2_3 · 1.4.2_4 · 1.4.2_5 · 1.4.2_6 · 1.4.2_7 · 1.4.2_8 · 1.4.2_9 · 1.4.2_10 · 1.4.2_11 · 1.4.2_12 · 1.4.2_13 · 1.4.2_14 · 1.4.2_15 · 1.4.2_16 · 1.4.2_17 · 1.4.2_18 · 1.4.2_19 · 1.4.2_20 · 1.4.2_21 · 1.4.2_22 · 1.4.2_23 · 1.4.2_24 · 1.4.2_25 · 1.4.2_26 · 1.4.2_27 · 1.4.2_28 · 1.4.2_29 · 1.4.2_30 · 1.4.2_31 · 1.4.2_32 · ≤ 4.2.33.0 · 1.5.0 · ≤ 5.0.0.0 · 1.5.0:update1 · 1.5.0:update2 · 1.5.0:update3 · 1.5.0:update4 · 1.5.0:update5 · 1.5.0:update6 · 1.5.0:update7 · 1.5.0:update7_b03 · 1.5.0:update8 · 1.5.0:update9 · 1.5.0:update10 · 1.5.0:update11 · 1.5.0:update11_b03 · 1.5.0:update12 · 1.5.0:update13 · 1.5.0:update14 · 1.5.0:update15 · 1.5.0:update16 · 1.5.0:update17 · 1.5.0:update18 · 1.5.0:update19 · 1.5.0:update20 · 1.5.0:update21 · 1.5.0:update22 · 1.5.0:update23 · 1.5.0:update24 · 1.5.0:update25 · 1.5.0:update26 · 1.5.0:update27 · 1.5.0:update28 · 1.5.0:update29 · 1.6.0 · ≤ 6.0.0.0 · 1.6.0:update1 · 1.6.0:update2 · 1.6.0:update_3 · 1.6.0:update_4 · 1.6.0:update_5 · 1.6.0:update_6 · 1.6.0:update_7 · 1.6.0:update_10 · 1.6.0:update_11 · 1.6.0:update_12 · 1.6.0:update_13 · 1.6.0:update_14 · 1.6.0:update_15 · 1.6.0:update_16 · 1.6.0:update_17 · 1.6.0:update_18 · 1.6.0:update_19 · 1.6.0:update_20 · 1.6.0:update_21 · 1.6.0:update_22 · 1.6.0:update_23 · 1.6.0:update_24 · 1.6.0:update_25 · 1.6.0:update_26 · 1.7.0 |
| nvd | sun | jre | javase | 1.4.2 · 1.4.2_1 · 1.4.2_2 · 1.4.2_3 · 1.4.2_4 · 1.4.2_5 · 1.4.2_6 · 1.4.2_7 · 1.4.2_8 · 1.4.2_9 · 1.4.2_10 · 1.4.2_11 · 1.4.2_12 · 1.4.2_13 · 1.4.2_14 · 1.4.2_15 · 1.4.2_16 · 1.4.2_17 · 1.4.2_18 · 1.4.2_19 · 1.4.2_20 · 1.4.2_21 · 1.4.2_22 · 1.4.2_23 · 1.4.2_24 · 1.4.2_25 · 1.4.2_26 · 1.4.2_27 · 1.4.2_28 · 1.4.2_29 · 1.4.2_30 · 1.4.2_31 · 1.4.2_32 · ≤ 4.2.33.0 · 1.5.0 · ≤ 5.0.0.0 · 1.5.0:update1 · 1.5.0:update2 · 1.5.0:update3 · 1.5.0:update4 · 1.5.0:update5 · 1.5.0:update6 · 1.5.0:update7 · 1.5.0:update8 · 1.5.0:update9 · 1.5.0:update10 · 1.5.0:update11 · 1.5.0:update12 · 1.5.0:update13 · 1.5.0:update14 · 1.5.0:update15 · 1.5.0:update16 · 1.5.0:update17 · 1.5.0:update18 · 1.5.0:update19 · 1.5.0:update20 · 1.5.0:update21 · 1.5.0:update22 · 1.5.0:update23 · 1.5.0:update24 · 1.5.0:update25 · 1.5.0:update26 · 1.5.0:update27 · 1.5.0:update29 · 1.6.0 · ≤ 6.0.0.0 · 1.6.0:update_1 · 1.6.0:update_2 · 1.6.0:update_3 · 1.6.0:update_4 · 1.6.0:update_5 · 1.6.0:update_6 · 1.6.0:update_7 · 1.6.0:update_10 · 1.6.0:update_11 · 1.6.0:update_12 · 1.6.0:update_13 · 1.6.0:update_14 · 1.6.0:update_15 · 1.6.0:update_16 · 1.6.0:update_17 · 1.6.0:update_18 · 1.6.0:update_19 · 1.6.0:update_20 · 1.6.0:update_21 · 1.6.0:update_22 · 1.6.0:update_23 · 1.6.0:update_24 · 1.6.0:update_25 · 1.6.0:update_26 · 1.7.0 |
Earlier manual review
A reviewer classified this CVE in an older dataset. We kept the labels and products below, but not the reviewer's reasoning.
## Manual Classification Context **Labels:** RMI, MULTIPLE, SEE NOTE 3, NO AUTH REMOTE EXPLOIT **Products:** ORACLE JDK JRE AND JROCKIT, JAVA RUNTIME ENVIRONMENT
References
Timeline
Timeline
| Published | 2011-10-19 | By the CVE Program. |
|---|---|---|
| NVD record modified | 2026-06-16 | NVD's own last-modified date for this record. |