Описание
A deserialization vulnerability exists in h2oai/h2o-3 versions <= 3.46.0.8, allowing attackers to read arbitrary system files and execute arbitrary code. The vulnerability arises from improper handling of JDBC connection parameters, which can be exploited by bypassing regular expression checks and using double URL encoding. This issue impacts all users of the affected versions.
Ссылки
- Patch
- ExploitThird Party Advisory
- ExploitThird Party Advisory
Уязвимые конфигурации
Конфигурация 1Версия от 3.0.0.2 (включая) до 3.46.0.8 (включая)
cpe:2.3:a:h2o:h2o:*:*:*:*:*:*:*:*
EPSS
Процентиль: 43%
0.00205
Низкий
9.8 Critical
CVSS3
Дефекты
CWE-502
Связанные уязвимости
CVSS3: 9.8
fstec
8 месяцев назад
Уязвимость платформы машинного обучения H2O, связанная с недостатками механизма десериализации, позволяющая нарушителю обойти ограничения безопасности, раскрыть защищаемую информацию и выполнить произвольный код
EPSS
Процентиль: 43%
0.00205
Низкий
9.8 Critical
CVSS3
Дефекты
CWE-502