CVE-2026-14587
Təsvir
Neo4j-nin Bolt müasir əl sıxma (handshake) dekoderi həddindən artıq uzun imkan bit maskasını kəsilmiş bit maskası ilə eyni şəkildə emal edir. Autentifikasiya olunmamış klient seçilmiş protokol versiyasından sonra imkan maskasında 32 davam etdirici bayt göndərdikdə, dekoder protokol mesajını rədd edib kanalı bağlamaq əvəzinə oxuyucu indeksini sıfırlayır və daha çox bayt gözləyir. Oxunmamış eyni baytlar dekoder buferinin ön hissəsində qaldığı üçün, sonradan sonlandırıcı baytın əlavə edilməsi bağlantını bərpa etmir. Dekoder eyni ilk 32 davam etdirici baytı yenidən oxuyur, əl sıxmanın tamamlanması mesajı istehsal etmədən geri dönür və kanalı açıq saxlayır. Bu, Bolt konnektoruna çata bilən hər hansı bir klient tərəfindən autentifikasiyadan əvvəl tetiklənə bilər.
Necə düzəltmək olar
- neo4j neo4j5.26.29, 2026.07.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| neo4j neo4j | 5.0.0 ≤ v < 5.26.29, 2025.01.0 ≤ v < 2026.07.0 | 5.26.29, 2026.07.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.