Zaloguj się
Deutsch English Español Polski
Krytyczna

H2O.ai H2O vulnerable to deserialization attacks via a JDBC Connection URL

  • Ujawniono: 06.09.2024
  • Aktualizacja: 11.10.2026 12:20

H2O.ai H2O through 3.46.0.4 allows attackers to arbitrarily set the JDBC URL, leading to deserialization attacks, file reads, and command execution. Exploitation can occur when an attacker has access to post to the ImportSQLTable URI with a JSON document containing a connection_url property with any typical JDBC Connection URL attack payload such as one that uses queryInterceptors.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) ai.h2o:h2o-core <= 3.46.0.7 brak poprawki
Python (PyPI) h2o <= 3.46.0.7 brak poprawki

Odnośniki

Ocena CVSS 9.1/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Słabość (CWE)
CWE-502
Platforma
Java / Kotlin (Maven), Python (PyPI)
Paczka
ai.h2o:h2o-core, h2o
Ujawniono
06.09.2024
Aktualizacja
11.10.2026 12:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-hrmc-jmp7-mpm2 - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-352 - PyPA Advisory Database; CC BY 4.0

Historia podatności: h2o

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (17) w archiwum
Wszystkich wpisów
17
Pierwsza → ostatnia
12.2023 04.2026
Bez poprawki
14
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 6
  • Wysoka 9
  • Średnia 2

Ujawnienia w latach

Istotność:
  1. A critical remote code execution vulnerability exists in the unauthenticated REST API endpoint /99/ImportSQLTable in H2O-3 version 3.46.0.9 and prior. The vulnerability arises due to insufficient secu
    Krytyczna · 9.8 CVE-2026-3960 < 3.46.0.10 3.46.0.10
  2. H2O has an External Control of File Name or Path vulnerability
    Krytyczna · 9.1 CVE-2024-5986 <= 3.46.0.1 brak poprawki
  3. H2O affected by a deserialization vulnerability
    Krytyczna · 9.8 CVE-2025-6544 <= 3.46.0.7 brak poprawki
  4. H2O Vulnerable to Arbitrary File Overwrite
    Wysoka · 8.2 CVE-2024-8616 >= 3.10.4.1, <= 3.46.0 brak poprawki
  5. H2O Vulnerable to Denial of Service (DoS) via `HEAD` Request
    Wysoka · 7.5 CVE-2024-8062 >= 3.2.0.1, <= 3.46.0 brak poprawki
  6. H2O Vulnerable to Denial of Service (DoS) via `/3/ImportFiles` Endpoint
    Wysoka · 7.5 CVE-2024-7768 <= 3.46.1 brak poprawki
  7. H2O Vulnerable to Denial of Service (DoS) via Large GZIP Parsing
    Wysoka · 7.5 CVE-2024-7765 >= 3.32.1.2, <= 3.46.0.2 brak poprawki
  8. H2O Vulnerable to Arbitrary File Overwrite via File Export
    Wysoka · 7.1 CVE-2024-6854 >= 3.32.1.1, <= 3.46.0 brak poprawki
  9. H2O Vulnerable to Denial of Service (DoS) and File Write
    Wysoka · 7.5 CVE-2024-10572 >= 3.34.0.1, <= 3.46.0.1 brak poprawki
  10. H2O Vulnerable to Denial of Service (DoS) via `/3/ParseSetup` Endpoint
    Wysoka · 7.5 CVE-2024-10550 >= 3.30.0.7, <= 3.46.0.1 brak poprawki
  11. H2O Vulnerable to Denial of Service (DoS) via `/3/Parse` Endpoint
    Wysoka · 7.5 CVE-2024-10549 >= 3.30.0.7, <= 3.46.0.1 brak poprawki
  12. H2O Deserialization of Untrusted Data Vulnerability
    Krytyczna · 9.8 CVE-2024-10553 < 3.46.0.6 3.46.0.6
  13. H2O.ai H2O vulnerable to deserialization attacks via a JDBC Connection URL ten wpis
    Krytyczna · 9.1 CVE-2024-45758 <= 3.46.0.7 brak poprawki
  14. h2o vulnerable to unexpected POST request shutting down server
    Wysoka · 7.5 CVE-2024-5979 <= 3.46.0 brak poprawki
  15. External Control of File Name or Path in h2oai/h2o-3
    Krytyczna · 9.3 CVE-2023-6569 < 3.46.0.1 3.46.0.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.