CVE-2024-27348criticalbajo ataqueCWE-284

CVE-2024-27348: fallo crítico en Apache HugeGraph-Server

Apache HugeGraph-Server: Command execution in gremlin

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Apache HugeGraph-Server+ Monitorear org.apache.hugegraph:hugegraph-api

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 99%
de la publicación al arma39 días
Publicada en NVD22 abr
1ª PoC+39d
metasploit22 abr
CISA KEV+149d
Acción exigida por CISAplazo federal: 2024-10-09

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

Apache HugeGraph-Server permite a atacantes ejecutar comandos arbitrarios en el servidor a través de la interfaz Gremlin sin autenticación. Este es un defecto crítico que puede llevar al compromiso total del sistema.

Detalle técnico

Vulnerabilidad de Ejecución Remota de Código en Apache HugeGraph-Server versiones 1.0.0 hasta 1.2.x explotable mediante envío de consultas Gremlin no autenticadas. El vector de ataque explota control de acceso insuficiente (CWE-284), permitiendo que atacantes en la red ejecuten comandos arbitrarios del sistema operativo con privilegios del servidor.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

RCE-Remote Command Execution vulnerability in Apache HugeGraph-Server.This issue affects Apache HugeGraph-Server: from 1.0.0 before 1.3.0 in Java8 & Java11 Users are recommended to upgrade to version 1.3.0 with Java11 & enable the Auth system, which fixes the issue.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Apache Software Foundation · Apache HugeGraph-Server
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Apache HugeGraph-Server

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-43441CRITICALApache HugeGraph-Server: Fixed JWT Token(Secret)EPSS 73.1%CVE-2025-26866HIGHApache HugeGraph-Server: RAFT and deserialization vulnerabilityEPSS 1.0%CVE-2024-27349CRITICALApache HugeGraph-Server: Bypass whitelist in Auth modeEPSS 1.0%