PT-2025-12190 · H2O.Ai · H2O-3

Publicado 2025-03-20 · Atualizado 2025-03-20 · CVE-2024-7768

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas h2oai/h2o-3 versão 3.46.1

Descrição Uma vulnerabilidade no endpoint "/3/ImportFiles" permite que um atacante cause uma negação de serviço. O endpoint aceita um único parâmetro GET, path, que pode ser configurado recursivamente para referenciar a si mesmo, levando o servidor a chamar repetidamente seu próprio endpoint e eventualmente saturar a fila de requisições, deixando o servidor incapaz de processar outras solicitações.

Recomendações Para a versão 3.46.1, como uma medida de contorno temporária, considere restringir o acesso ao endpoint "/3/ImportFiles" até que um patch esteja disponível. Evite usar o parâmetro path no endpoint afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

DoS

Allocation of Resources Without Limits

Resource Exhaustion

Enumeração de Fraquezas

CWE-770

CWE-400

Identificadores relacionados

CVE-2024-7768

GHSA-P2VC-M5FV-9W9M

Produtos afetados

H2O-3

Referências · 7

• 🔥 https://huntr.com/bounties/3fe640df-bef4-4072-8890-0d12bc2818f6 · Exploit
• https://github.com/h2oai/h2o-3 · Nota
• https://github.com/h2oai/h2o-3/blob/7d418fa19d3ab434f742818e37f891bef9102c97/h2o-core/src/main/java/water/api/ImportFilesHandler.java#L19 · Nota
• https://osv.dev/vulnerability/GHSA-p2vc-m5fv-9w9m · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-7768 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1902671066712981862 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-7768 · Nota de Segurança