Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en los plugins Apoc de la base de datos Neo4J Graph (CVE-2021-42767)

Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-22 Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)
Fecha de publicación:
01/03/2022
Última modificación:
04/10/2022

Descripción

Una vulnerabilidad de cruce de directorios en los plugins apoc de la base de datos Neo4J Graph antes de la versión 4.4.0.1 permite a los atacantes leer archivos locales y, en ocasiones, crear archivos locales. Esto se ha corregido en las versiones 3.5.17, 4.2.10, 4.3.0.4 y 4.4.0.1

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:neo4j:awesome_procedures:*:*:*:*:*:neo4j:*:* 3.5.0.17 (excluyendo)
cpe:2.3:a:neo4j:awesome_procedures:*:*:*:*:*:neo4j:*:* 4.2.0.0 (incluyendo) 4.2.10 (excluyendo)
cpe:2.3:a:neo4j:awesome_procedures:*:*:*:*:*:neo4j:*:* 4.3.0.0 (incluyendo) 4.3.0.4 (excluyendo)
cpe:2.3:a:neo4j:awesome_procedures:*:*:*:*:*:neo4j:*:* 4.4.0.0 (incluyendo) 4.4.0.1 (excluyendo)