3.46.0.4 までの H2O.ai H2O により、攻撃者が JDBC URL を任意に設定し、逆シリアル化攻撃、ファイル読み取り、コマンド実行を引き起こす可能性があります。攻撃者が、queryInterceptors を使用するものなどの一般的な JDBC Connection URL 攻撃ペイロードを持つ connection_url プロパティを含む JSON ドキュメントで ImportSQLTable URI に投稿するアクセス権を持っているときに発生する可能性があります。(CVE-2024-45758)

重大に分類された脆弱性が、h2oai h2o-3 3.46.0.4 で見つかりました。この問題は、コンポーネント JDBC Connection Handler の /dtale/chart-data/1 ファイルの getConnectionSafe 関数に影響を与えます。引数クエリの操作により、逆シリアル化が発生します。攻撃がリモートで開始される可能性があります。このエクスプロイトは一般に公開されており、使用される可能性があります。ベンダーはこの漏洩について早期に連絡を受けましたが、一切応答しませんでした。
(CVE-2024-8862)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

H2O-3 複数の逆シリアル化の脆弱性

critical Nessus プラグイン ID 213041

バージョン 1.2

バージョン 1.1

バージョン 1.2 Dec 17, 2024, 9:25 AM CVSS temporal metrics ("CVSSv2 temporal vector" set to "CVSS2#E:POC/RL:OF/RC:C") CVSS temporal metrics ("CVSSv3 temporal vector" set to "CVSS:3.0/E:P/RL:O/RC:C") Plugin Feed: 202412170925
バージョン 1.1 Dec 16, 2024, 8:47 PM New Plugin Feed: 202412162047