Zaloguj się
Deutsch English Español Polski
Średnia

H2O Vulnerable to Execution of Arbitrary Files

  • Ujawniono: 20.03.2025
  • Aktualizacja: 11.10.2026 13:18

In h2oai/h2o-3 version 3.46.0, an endpoint exposing a custom EncryptionTool allows an attacker to encrypt any files on the target server with a key of their choosing. The chosen key can also be overwritten, resulting in ransomware-like behavior. This vulnerability makes it possible for an attacker to encrypt arbitrary files with keys of their choice, making it exceedingly difficult for the target to recover the keys needed for decryption.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) ai.h2o:h2o-core >= 3.32.1.2, <= 3.46.0 brak poprawki
Python (PyPI) h2o >= 3.32.1.2, <= 3.46.0 brak poprawki

Odnośniki

Ocena CVSS 6.5/10
Wektor CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L
Słabość (CWE)
CWE-749
Platforma
Java / Kotlin (Maven), Python (PyPI)
Paczka
ai.h2o:h2o-core, h2o
Ujawniono
20.03.2025
Aktualizacja
11.10.2026 13:18

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-m37h-8r48-2cxj - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-1442 - PyPA Advisory Database; CC BY 4.0

Historia podatności: h2o

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (17) w archiwum
Wszystkich wpisów
17
Pierwsza → ostatnia
12.2023 04.2026
Bez poprawki
14
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 6
  • Wysoka 9
  • Średnia 2

Ujawnienia w latach

Istotność:
  1. A critical remote code execution vulnerability exists in the unauthenticated REST API endpoint /99/ImportSQLTable in H2O-3 version 3.46.0.9 and prior. The vulnerability arises due to insufficient secu
    Krytyczna · 9.8 CVE-2026-3960 < 3.46.0.10 3.46.0.10
  2. H2O has an External Control of File Name or Path vulnerability
    Krytyczna · 9.1 CVE-2024-5986 <= 3.46.0.1 brak poprawki
  3. H2O affected by a deserialization vulnerability
    Krytyczna · 9.8 CVE-2025-6544 <= 3.46.0.7 brak poprawki
  4. H2O Vulnerable to Arbitrary File Overwrite
    Wysoka · 8.2 CVE-2024-8616 >= 3.10.4.1, <= 3.46.0 brak poprawki
  5. H2O Vulnerable to Denial of Service (DoS) via `HEAD` Request
    Wysoka · 7.5 CVE-2024-8062 >= 3.2.0.1, <= 3.46.0 brak poprawki
  6. H2O Vulnerable to Denial of Service (DoS) via `/3/ImportFiles` Endpoint
    Wysoka · 7.5 CVE-2024-7768 <= 3.46.1 brak poprawki
  7. H2O Vulnerable to Denial of Service (DoS) via Large GZIP Parsing
    Wysoka · 7.5 CVE-2024-7765 >= 3.32.1.2, <= 3.46.0.2 brak poprawki
  8. H2O Vulnerable to Arbitrary File Overwrite via File Export
    Wysoka · 7.1 CVE-2024-6854 >= 3.32.1.1, <= 3.46.0 brak poprawki
  9. H2O Vulnerable to Execution of Arbitrary Files ten wpis
    Średnia · 6.5 CVE-2024-6863 >= 3.32.1.2, <= 3.46.0 brak poprawki
  10. H2O Vulnerable to Denial of Service (DoS) and File Write
    Wysoka · 7.5 CVE-2024-10572 >= 3.34.0.1, <= 3.46.0.1 brak poprawki
  11. H2O Vulnerable to Denial of Service (DoS) via `/3/ParseSetup` Endpoint
    Wysoka · 7.5 CVE-2024-10550 >= 3.30.0.7, <= 3.46.0.1 brak poprawki
  12. H2O Vulnerable to Denial of Service (DoS) via `/3/Parse` Endpoint
    Wysoka · 7.5 CVE-2024-10549 >= 3.30.0.7, <= 3.46.0.1 brak poprawki
  13. H2O Deserialization of Untrusted Data Vulnerability
    Krytyczna · 9.8 CVE-2024-10553 < 3.46.0.6 3.46.0.6
  14. H2O.ai H2O vulnerable to deserialization attacks via a JDBC Connection URL
    Krytyczna · 9.1 CVE-2024-45758 <= 3.46.0.7 brak poprawki
  15. h2o vulnerable to unexpected POST request shutting down server
    Wysoka · 7.5 CVE-2024-5979 <= 3.46.0 brak poprawki
  16. External Control of File Name or Path in h2oai/h2o-3
    Krytyczna · 9.3 CVE-2023-6569 < 3.46.0.1 3.46.0.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.