VULNERABILIDAD
CVE-2026-110812 Deserialización insegura en la importación de grafos Gremlin de Amazon Neptune
La deserialización de datos no confiables en el componente de importación de datos de grafos Gremlin del motor de Amazon Neptune podría permitir a un actor remoto autenticado con permisos estándar de base de datos ejecutar código arbitrario y acceder a credenciales internas del servicio. Se recomienda actualizar a la versión 1.5.0.0 del motor (con backports a 1.4.8.1 y 1.4.7.1).
Alerta de Nureq Monitor
Detectada 15 OCT · 15:48
CVSS 3.1
9.9CRÍTICACVSS 4.0
9.4 CRÍTICA
PROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,4 % PERCENTIL 29
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-110812
La deserialización de datos no confiables en el componente de importación de datos de grafos Gremlin del motor de Amazon Neptune podría permitir a un actor remoto autenticado con permisos estándar de base de datos ejecutar código arbitrario y acceder a credenciales internas del servicio. Se recomienda actualizar a la versión 1.5.0.0 del motor (con backports a 1.4.8.1 y 1.4.7.1).
Productos y versiones afectadas
AWS Amazon Neptune Engine
Qué hacer
- Verificá si usás Amazon Neptune Engine y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 9.9 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Cambiado
- CONFIDENCIALIDAD (C)
- Alta
- INTEGRIDAD (I)
- Alta
- DISPONIBILIDAD (A)
- Alta
CVSS 4.0 · 9.4 CRÍTICA
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- REQUISITOS DEL ATAQUE (AT)
- Ninguno
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
- Alta
- INTEGRIDAD (SISTEMA VULNERABLE) (VI)
- Alta
- DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
- Alta
- CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
- Alta
- INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
- Alta
- DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
- Alta
Abrir la calculadora completa →
Descripción original
Deserialization of untrusted data in the Gremlin graph data import component in Amazon Neptune engine might allow an authenticated remote actor with standard database permissions to execute arbitrary code and access internal service credentials.
To remediate this issue, users not enrolled in auto-update should upgrade to Amazon Neptune engine version 1.5.0.0.(Backports to 1.4.8.1 and 1.4.7.1)
Referencias
- docs.aws.amazon.com/neptune/latest/userguide/engine-releases-1.5.0.0.htmlPATCH
- docs.aws.amazon.com/neptune/latest/userguide/engine-releases-1.4.7.1.htmlPATCH
- docs.aws.amazon.com/neptune/latest/userguide/engine-releases-1.4.8.1.htmlPATCH
- aws.amazon.com/security/security-bulletins/2026-136-aws/VENDOR-ADVISORY
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.