CVE-2024-5550
Açıklama
h2oai/h2o-3 versiyon 3.40.0.4'te, rastgele sistem yolu arama özelliği nedeniyle hassas bilgi ifşası zafiyeti bulunmaktadır. Bu zafiyet, herhangi bir uzak kullanıcının h2o-3'ün barındırıldığı tüm dosya sistemindeki tam yolları görüntülemesine olanak tanır. Özellikle sorun, '/' ile bir typeahead araması istendiğinde /home, /usr, /bin gibi dizinler dahil olmak üzere kök dosya sistemini ifşa eden Typeahead API çağrısında yer almaktadır. Bu zafiyet, saldırganların tüm dosya sistemini keşfetmesine izin verebilir ve bir Yerel Dosya Dahil Etme (LFI) zafiyeti ile birleştirildiğinde sunucunun istismar edilmesini kolaylaştırabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| h2o h2o | 3.40.0.4 | — |
| h2oPyPI | v ≤ 3.40.0.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.