H2O.Ai · H2O · CVE-2024-45758
Nome do software vulnerável e versões afetadas:
H2O.ai H2O versões 3.46.0.4 e anteriores
Descrição:
A vulnerabilidade permite que invasores definam arbitrariamente a URL JDBC, levando a ataques de desserialização, leitura de arquivos e execução de comandos. A exploração pode ocorrer quando um invasor tem acesso para enviar dados para a URI “ImportSQLTable” com um documento JSON contendo uma propriedade `connection url` com qualquer carga de ataque típica de URL de conexão JDBC.
Recomendações:
Para as versões 3.46.0.4 e anteriores, atualize para uma versão corrigida para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à URI ImportSQLTable para minimizar o risco de exploração. Evite usar a propriedade `connection url` nos documentos JSON afetados até que o problema seja resolvido.