PT-2024-31754 · H2O.Ai · H2O

Aftersnows

+2

·

Publicado

2024-09-06

·

Atualizado

2025-09-29

·

CVE-2024-45758

CVSS v3.1

9.1

Crítica

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Nome do software vulnerável e versões afetadas:
H2O.ai H2O versões 3.46.0.4 e anteriores
Descrição:
A vulnerabilidade permite que invasores definam arbitrariamente a URL JDBC, levando a ataques de desserialização, leitura de arquivos e execução de comandos. A exploração pode ocorrer quando um invasor tem acesso para enviar dados para a URI “ImportSQLTable” com um documento JSON contendo uma propriedade connection url com qualquer carga de ataque típica de URL de conexão JDBC.
Recomendações:
Para as versões 3.46.0.4 e anteriores, atualize para uma versão corrigida para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à URI ImportSQLTable para minimizar o risco de exploração. Evite usar a propriedade connection url nos documentos JSON afetados até que o problema seja resolvido.

Exploit

Correção

Deserialization of Untrusted Data

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2024-45758
GHSA-HRMC-JMP7-MPM2

Produtos afetados

H2O