Zaloguj się
Deutsch English Español Polski
Krytyczna

H2O Deserialization of Untrusted Data Vulnerability

  • Ujawniono: 20.03.2025
  • Aktualizacja: 11.10.2026 12:20

A vulnerability in the h2oai/h2o-3 REST API versions 3.46.0.4 allows unauthenticated remote attackers to execute arbitrary code via deserialization of untrusted data. The vulnerability exists in the endpoints POST /99/ImportSQLTable and POST /3/SaveToHiveTable, where user-controlled JDBC URLs are passed to DriverManager.getConnection, leading to deserialization if a MySQL or PostgreSQL driver is available in the classpath. This issue is fixed in version 3.46.0.6.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) ai.h2o:h2o-core < 3.46.0.6 3.46.0.6
Python (PyPI) h2o < 3.46.0.6 3.46.0.6

Odnośniki

Ocena CVSS 9.8/10
Wektor CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-502
Platforma
Java / Kotlin (Maven), Python (PyPI)
Paczka
ai.h2o:h2o-core, h2o
Ujawniono
20.03.2025
Aktualizacja
11.10.2026 12:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-h7xg-cmpp-48hf - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-351 - PyPA Advisory Database; CC BY 4.0

Historia podatności: ai.h2o:h2o-core

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (15) w archiwum
Wszystkich wpisów
15
Pierwsza → ostatnia
11.2023 04.2026
Bez poprawki
13
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 6
  • Wysoka 8
  • Średnia 1

Ujawnienia w latach

Istotność:
  1. A critical remote code execution vulnerability exists in the unauthenticated REST API endpoint /99/ImportSQLTable in H2O-3 version 3.46.0.9 and prior. The vulnerability arises due to insufficient secu
    Krytyczna · 9.8 CVE-2026-3960 < 3.46.0.10 3.46.0.10
  2. H2O has an External Control of File Name or Path vulnerability
    Krytyczna · 9.1 CVE-2024-5986 <= 3.46.0.1 brak poprawki
  3. H2O affected by a deserialization vulnerability
    Krytyczna · 9.8 CVE-2025-6544 <= 3.46.0.7 brak poprawki
  4. H2O Vulnerable to Arbitrary File Overwrite
    Wysoka · 8.2 CVE-2024-8616 >= 3.10.4.1, <= 3.46.0 brak poprawki
  5. H2O Vulnerable to Denial of Service (DoS) via `HEAD` Request
    Wysoka · 7.5 CVE-2024-8062 >= 3.2.0.1, <= 3.46.0 brak poprawki
  6. H2O Vulnerable to Denial of Service (DoS) via `/3/ImportFiles` Endpoint
    Wysoka · 7.5 CVE-2024-7768 <= 3.46.1 brak poprawki
  7. H2O Vulnerable to Denial of Service (DoS) via Large GZIP Parsing
    Wysoka · 7.5 CVE-2024-7765 >= 3.32.1.2, <= 3.46.0.2 brak poprawki
  8. H2O Vulnerable to Arbitrary File Overwrite via File Export
    Wysoka · 7.1 CVE-2024-6854 >= 3.32.1.1, <= 3.46.0 brak poprawki
  9. H2O Vulnerable to Denial of Service (DoS) via `/3/ParseSetup` Endpoint
    Wysoka · 7.5 CVE-2024-10550 >= 3.30.0.7, <= 3.46.0.1 brak poprawki
  10. H2O Vulnerable to Denial of Service (DoS) via `/3/Parse` Endpoint
    Wysoka · 7.5 CVE-2024-10549 >= 3.30.0.7, <= 3.46.0.1 brak poprawki
  11. H2O Deserialization of Untrusted Data Vulnerability ten wpis
    Krytyczna · 9.8 CVE-2024-10553 < 3.46.0.6 3.46.0.6
  12. H2O.ai H2O vulnerable to deserialization attacks via a JDBC Connection URL
    Krytyczna · 9.1 CVE-2024-45758 <= 3.46.0.7 brak poprawki
  13. H2O vulnerable to Deserialization of Untrusted Data
    Wysoka · 7.5 CVE-2024-6960 <= 3.46.0.4 brak poprawki
  14. H2O local file inclusion vulnerability
    Krytyczna · 9.3 CVE-2023-6038 <= 3.40.0.4 brak poprawki

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.