PT-2021-20483 · Neo4J · Neo4J

CVE-2021-34371

·

Publicado

2021-08-05

·

Atualizado

2026-08-26

CVSS v3.1

9.8

Crítica

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
**Nome do software vulnerável e versões afetadas:
Versões do Neo4j anteriores à 3.4.18
Descrição:
A vulnerabilidade permite a execução remota de código devido à deserialização arbitrária de objetos Java. Isso pode ocorrer por meio da função setSessionVariable, que faz parte do serviço RMI exposto quando o servidor shell está habilitado. A presença de dependências com cadeias de gadgets exploráveis torna isso possível.
Recomendações:
Para versões anteriores à 3.4.18, considere desativar o servidor shell para evitar a exposição do serviço RMI como uma solução temporária. Restrinja o acesso à função setSessionVariable para minimizar o risco de exploração.

Exploit

Correção

Deserialization of Untrusted Data

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

BIT-NEO4J-2021-34371
BIT-NEO4J-ENTERPRISE-2021-34371
CVE-2021-34371
GHSA-PC4W-8V5J-29W9

Produtos afetados

Neo4J