CVE-2022-23532
Açıklama
APOC (Awesome Procedures on Cypher), Neo4j için yüzlerce prosedür ve işlev sağlayan bir eklenti kütüphanesidir. Neo4j Graph veritabanındaki apoc eklentilerinin apoc.export.* prosedürlerinde bir yol geçişi (path traversal) güvenlik açığı bulunmuştur. Bu sorun, kötü niyetli bir aktörün beklenen dizinin dışına çıkmasına potansiyel olarak olanak tanır. Güvenlik açığı, dosyaların yalnızca oluşturulabildiği ancak üzerine yazılamadığı şeklindedir. Güvenlik açığından yararlanılması için bir saldırganın, ya kimliği doğrulanmış bir Neo4j istemcisine erişerek ya da bir uygulamadaki Cypher enjeksiyonu güvenlik açığı aracılığıyla rastgele bir sorgu yürütme erişimine sahip olması gerekir. Bu güvenlik açığı için yama içeren minimum sürümler 4.4.0.12 ve 4.3.0.12 ve 5.3.1'dir. Geçici bir çözüm olarak, sisteminizde kullanılabilecek prosedürlerin izin listesini (allowlist) kontrol edebilir ve/veya apoc.export.file.enabled=false ayarını yaparak yerel dosya erişimini kapatabilirsiniz.
Nasıl düzeltilir
- neo4j awesome_procedures_on_cyper4.3.0.12, 4.4.0.12 ya da sonraki bir sürüm
- org.neo4j.procedure:apoc4.3.0.12, 4.4.0.12 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| neo4j awesome_procedures_on_cyper | v < 4.3.0.12, 4.4.0.0 ≤ v < 4.4.0.12, 5.3.0 | 4.3.0.12, 4.4.0.12 |
| org.neo4j.procedure:apocMaven | v < 4.3.0.12, 4.4.0.0 ≤ v < 4.4.0.12 | 4.3.0.12, 4.4.0.12 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.