PT-2025-12216 · H2O.Ai · H2O-3

Publicado 2025-03-20 · Atualizado 2025-03-20 · CVE-2024-8062

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas h2oai/h2o-3 versão 3.46.0

Descrição Existe um problema de negação de serviço devido a uma vulnerabilidade no endpoint de typeahead. O endpoint realiza uma requisição HEAD para verificar a existência de um recurso especificado sem definir um tempo limite (timeout). Um invasor pode explorar isso enviando múltiplas requisições para um servidor controlado pelo invasor que não responde, fazendo com que a aplicação bloqueie e pare de responder a outras requisições.

Recomendações Para o h2oai/h2o-3 versão 3.46.0, considere implementar um tempo limite (timeout) para a requisição HEAD no endpoint de typeahead para impedir que a aplicação pare de responder. Como solução alternativa temporária, restrinja o acesso ao endpoint de typeahead para minimizar o risco de exploração.

Exploit

Correção

DoS

Enumeração de Fraquezas

CWE-1088

Identificadores relacionados

CVE-2024-8062

GHSA-5C8J-G96X-CJ78

Produtos afetados

H2O-3

Referências · 7

• 🔥 https://huntr.com/bounties/a04190d9-4acb-449a-9a7f-f1bf6be1ed23 · Exploit
• https://github.com/h2oai/h2o-3 · Nota
• https://github.com/h2oai/h2o-3/blob/047a4d617240a56e74f834207c65973d133391cb/h2o-core/src/main/java/water/persist/PersistManager.java#L302 · Nota
• https://osv.dev/vulnerability/GHSA-5c8j-g96x-cj78 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-8062 · Nota de Segurança
• https://twitter.com/CVEnew/status/1902671029388140714 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-8062 · Aviso do Fabricante