VRT 391,192 CVEs tracked · 15,442 in RASP scope · data as of 19 hours ago

CVE-2011-3556

7.5 High Protected by RASP

Description

Unspecified vulnerability in the Java Runtime Environment component in Oracle Java SE JDK and JRE 7, 6 Update 27 and earlier, 5.0 Update 31 and earlier, 1.4.2_33 and earlier, and JRockit R28.1.4 and earlier allows remote attackers to affect confidentiality, integrity, and availability, related to RMI, a different vulnerability than CVE-2011-3557.

Exploitation Status

Working exploit published

A reviewed exploit catalogue carries this CVE. Somebody has published code a stranger can run.

CVSS E:P

  • CISA KEV not listed
  • CISA Vulnrichment no assessment published
  • Indexed PoC 2 indexed Published artifacts you can open, in Exploit-DB, GitHub PoC; first seen 2011-07-15.
  • EPSS 76% chance in 30 days A model prediction, not an observation. Higher than 100% of all scored CVEs.

1 of these are GitHub repositories below the 5★ evidence bar. They are listed because a person may still want to open one; they do not count toward the exploit maturity above.

IndexArtifactStarsFirst seen
GitHub PoC Python 3 implementation of an existing CVE-2011-3556 proof of concept (PoC). 1 2019-01-29
Exploit-DB Java RMI - Server Insecure Default Configuration Java Code Execution (Metasploit) 2011-07-15

Waratek Defense Posture

Protected by RASP

A Waratek agent blocks this today.

Applicable rule: Manual classification assigned status: MITIGATED-BY-SECURE-RULE

  • Protection full a general security rule for the vulnerability class
  • Action available security rule
  • Review human manual-review
  • Record active
Decided by manual classification : Manual classification of this CVE in the legacy dataset
Finding Manual classification assigned status: MITIGATED-BY-SECURE-RULE

CVSS

7.5 v2.0 AV:N/AC:L/Au:N/C:P/I:P/A:P 1 metric

VRT selects the newest version's highest entry and publishes it as cvssScore, newest rather than largest because scores are not comparable across versions, and highest rather than first because the first entry is frequently a CNA placeholder scoring 0.0 over NVD's own analysis.

VersionScoreBandVectorAssignerType
CVSS 2.0 7.5 no band published AV:N/AC:L/Au:N/C:P/I:P/A:P NVD Primary published

Affected Software & Releases

🏛️ Oracle CPU Advisories & Products

AdvisoryTypeQuarterProducts Oracle named in risk matrix
Java SE CPU Oct 2011 ↗ CPU 2011-Q4 Oracle JDK, JRE and JRockit / Java Runtime Environment (JDK and JRE 7, 6 Update 27 and before, 5.0 Update 31 and before, 1.4.2_33 and before. JRockit R28.1.4 and before)

Indexed Oracle Components & Versions

FamilyComponentOracle's version cell (verbatim)Indexed as
Oracle JDK, JRE and JRockit Java Runtime Environment JDK and JRE 7, 6 Update 27 and before, 5.0 Update 31 and before, 1.4.2_33 and before. JRockit R28.1.4 and before 7

🖥️ Product CPEs & Version Ranges

3 product(s) over 192 version claims (uncapped)
SourceVendorProductSchemeAffected Versions
nvd oracle jrockit generic r28.0.0 · r28.0.1 · r28.0.2 · r28.1.0 · r28.1.1 · r28.1.3 · ≤ 28.1.4
nvd sun jdk javase 1.4.2 · 1.4.2_1 · 1.4.2_2 · 1.4.2_3 · 1.4.2_4 · 1.4.2_5 · 1.4.2_6 · 1.4.2_7 · 1.4.2_8 · 1.4.2_9 · 1.4.2_10 · 1.4.2_11 · 1.4.2_12 · 1.4.2_13 · 1.4.2_14 · 1.4.2_15 · 1.4.2_16 · 1.4.2_17 · 1.4.2_18 · 1.4.2_19 · 1.4.2_20 · 1.4.2_21 · 1.4.2_22 · 1.4.2_23 · 1.4.2_24 · 1.4.2_25 · 1.4.2_26 · 1.4.2_27 · 1.4.2_28 · 1.4.2_29 · 1.4.2_30 · 1.4.2_31 · 1.4.2_32 · ≤ 4.2.33.0 · 1.5.0 · ≤ 5.0.0.0 · 1.5.0:update1 · 1.5.0:update2 · 1.5.0:update3 · 1.5.0:update4 · 1.5.0:update5 · 1.5.0:update6 · 1.5.0:update7 · 1.5.0:update7_b03 · 1.5.0:update8 · 1.5.0:update9 · 1.5.0:update10 · 1.5.0:update11 · 1.5.0:update11_b03 · 1.5.0:update12 · 1.5.0:update13 · 1.5.0:update14 · 1.5.0:update15 · 1.5.0:update16 · 1.5.0:update17 · 1.5.0:update18 · 1.5.0:update19 · 1.5.0:update20 · 1.5.0:update21 · 1.5.0:update22 · 1.5.0:update23 · 1.5.0:update24 · 1.5.0:update25 · 1.5.0:update26 · 1.5.0:update27 · 1.5.0:update28 · 1.5.0:update29 · 1.6.0 · ≤ 6.0.0.0 · 1.6.0:update1 · 1.6.0:update2 · 1.6.0:update_3 · 1.6.0:update_4 · 1.6.0:update_5 · 1.6.0:update_6 · 1.6.0:update_7 · 1.6.0:update_10 · 1.6.0:update_11 · 1.6.0:update_12 · 1.6.0:update_13 · 1.6.0:update_14 · 1.6.0:update_15 · 1.6.0:update_16 · 1.6.0:update_17 · 1.6.0:update_18 · 1.6.0:update_19 · 1.6.0:update_20 · 1.6.0:update_21 · 1.6.0:update_22 · 1.6.0:update_23 · 1.6.0:update_24 · 1.6.0:update_25 · 1.6.0:update_26 · 1.7.0
nvd sun jre javase 1.4.2 · 1.4.2_1 · 1.4.2_2 · 1.4.2_3 · 1.4.2_4 · 1.4.2_5 · 1.4.2_6 · 1.4.2_7 · 1.4.2_8 · 1.4.2_9 · 1.4.2_10 · 1.4.2_11 · 1.4.2_12 · 1.4.2_13 · 1.4.2_14 · 1.4.2_15 · 1.4.2_16 · 1.4.2_17 · 1.4.2_18 · 1.4.2_19 · 1.4.2_20 · 1.4.2_21 · 1.4.2_22 · 1.4.2_23 · 1.4.2_24 · 1.4.2_25 · 1.4.2_26 · 1.4.2_27 · 1.4.2_28 · 1.4.2_29 · 1.4.2_30 · 1.4.2_31 · 1.4.2_32 · ≤ 4.2.33.0 · 1.5.0 · ≤ 5.0.0.0 · 1.5.0:update1 · 1.5.0:update2 · 1.5.0:update3 · 1.5.0:update4 · 1.5.0:update5 · 1.5.0:update6 · 1.5.0:update7 · 1.5.0:update8 · 1.5.0:update9 · 1.5.0:update10 · 1.5.0:update11 · 1.5.0:update12 · 1.5.0:update13 · 1.5.0:update14 · 1.5.0:update15 · 1.5.0:update16 · 1.5.0:update17 · 1.5.0:update18 · 1.5.0:update19 · 1.5.0:update20 · 1.5.0:update21 · 1.5.0:update22 · 1.5.0:update23 · 1.5.0:update24 · 1.5.0:update25 · 1.5.0:update26 · 1.5.0:update27 · 1.5.0:update29 · 1.6.0 · ≤ 6.0.0.0 · 1.6.0:update_1 · 1.6.0:update_2 · 1.6.0:update_3 · 1.6.0:update_4 · 1.6.0:update_5 · 1.6.0:update_6 · 1.6.0:update_7 · 1.6.0:update_10 · 1.6.0:update_11 · 1.6.0:update_12 · 1.6.0:update_13 · 1.6.0:update_14 · 1.6.0:update_15 · 1.6.0:update_16 · 1.6.0:update_17 · 1.6.0:update_18 · 1.6.0:update_19 · 1.6.0:update_20 · 1.6.0:update_21 · 1.6.0:update_22 · 1.6.0:update_23 · 1.6.0:update_24 · 1.6.0:update_25 · 1.6.0:update_26 · 1.7.0

Manual classification context

A reviewer manually classified this CVE. The retained record includes the labels and products below, but not the reviewer's reasoning.

## Manual Classification Context **Labels:** RMI, MULTIPLE, SEE NOTE 3, NO AUTH REMOTE EXPLOIT **Products:** ORACLE JDK JRE AND JROCKIT, JAVA RUNTIME ENVIRONMENT

References

URLTags
https://access.redhat.com/errata/RHSA-2011:1380 ADVISORY, RHSA-2011:1380
https://access.redhat.com/security/cve/CVE-2011-3556 REPORT, RHSA-2011:1380
http://lists.opensuse.org/opensuse-security-announce/2012-01/msg00049.html
http://lists.opensuse.org/opensuse-security-announce/2012-01/msg00051.html
http://marc.info/?l=bugtraq&m=132750579901589&w=2
http://marc.info/?l=bugtraq&m=133365109612558&w=2
http://marc.info/?l=bugtraq&m=133728004526190&w=2
http://marc.info/?l=bugtraq&m=134254866602253&w=2
http://marc.info/?l=bugtraq&m=134254957702612&w=2
http://osvdb.org/76505

Timeline

Published 2011-10-19 Last modified 2026-06-16
Published2011-10-19By the CVE Program.
NVD record modified2026-06-16NVD's own last-modified date for this record.