CVE-2023-6038
Təsvir
h2o-3 REST API-da Yerli Faylların Daxil Edilməsi (LFI) zəifliyi mövcuddur və bu, autentifikasiya olunmamış uzaq hücumçulara h2o-3 instansiyasını işlədən istifadəçinin icazələri ilə serverdəki ixtiyari faylları oxumağa imkan verir. Bu problem standart quraşdırmaya təsir edir və istifadəçi qarşılıqlı əlaqəsi tələb etmir. Zəiflik müvafiq olaraq ImportFiles və ParseSetup son nöqtələrinə (endpoints) xüsusi GET və ya POST sorğuları göndərməklə istismar edilə bilər. Bu problem h2o-3-ün 3.40.0.4 versiyasında aşkar edilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| h2o h2o | Aralıq göstərilməyib | — |
| ai.h2o:h2o-coreMaven | v ≤ 3.40.0.4 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.