H2O-3 多种反序列化漏洞

critical Nessus 插件 ID 213041

语言：

简介

远程主机上安装的 Python 库受到一个漏洞的影响。

描述

H2O.ai H2O 到 3.46.0.4 允许攻击者任意设置 JDBC URL，从而导致反序列化攻击、文件读取和命令执行。当攻击者有权通过包含 connection_url 属性的 JSON 文档，通过任何典型的 JDBC 连接 URL 攻击负载（例如使用 queryInterceptors 的负载，例如使用 queryInterceptors）对 ImportSQLTable URI 进行 post 时，即可发生恶意利用。(CVE-2024-45758)

在 h2oai h2o-3 3.46.0.4 中发现一个漏洞，它被分类为危急。该问题影响组件 JDBC 连接处理程序的文件 /dtale/chart-data/1 的函数 getConnectionSafe。操纵参数查询会导致反序列化。攻击可从远程发起。该漏洞已被公开并可被使用。先前已就此泄露问题联系过供应商，但供应商未以任何方式回复。
(CVE-2024-8862)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。