PT-2025-12172 · H2O.Ai · H2O-3

Publicado 2025-03-20 · Atualizado 2025-03-20 · CVE-2024-6863

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas h2oai/h2o-3 versão 3.46.0

Descrição A vulnerabilidade permite que um invasor criptografe quaisquer arquivos no servidor alvo com uma chave de sua escolha através de um endpoint que expõe uma EncryptionTool personalizada. Isso pode resultar em comportamento semelhante ao de ransomware, tornando difícil para o alvo recuperar as chaves necessárias para descriptografia. O invasor também pode sobrescrever a chave escolhida.

Recomendações Para h2oai/h2o-3 versão 3.46.0, considere desativar o acesso ao endpoint da EncryptionTool personalizada como uma solução temporária até que um patch esteja disponível. Restrinja o acesso a arquivos e diretórios sensíveis para minimizar o risco de exploração.

Exploit

Correção

Enumeração de Fraquezas

CWE-749

Identificadores relacionados

CVE-2024-6863

GHSA-M37H-8R48-2CXJ

Produtos afetados

H2O-3

Referências · 7

• 🔥 https://huntr.com/bounties/10f55937-0cba-4530-897f-2abf30ed5270 · Exploit
• https://github.com/h2oai/h2o-3 · Nota
• https://github.com/h2oai/h2o-3/blob/a20b5b19b769866ee24b217ee78b820e64c1cd6a/h2o-core/src/main/java/water/tools/EncryptionTool.java#L49 · Nota
• https://osv.dev/vulnerability/CVE-2024-6863 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1902671109507723693 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-m37h-8r48-2cxj · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-6863 · Nota de Segurança