CVE-2026-3960
Açıklama
H2O-3 sürüm 3.46.0.9 ve öncesinde, kimlik doğrulaması gerektirmeyen /99/ImportSQLTable REST API uç noktasında kritik bir uzaktan kod çalıştırma zafiyeti bulunmaktadır. Zafiyet, yalnızca MySQL JDBC sürücüsüne özgü tehlikeli parametreleri hedefleyen parametre kara liste mekanizmasındaki yetersiz güvenlik kontrollerinden kaynaklanmaktadır. Bir saldırgan, JDBC URL protokolünü jdbc:postgresql: olarak değiştirip socketFactory ve socketFactoryArg gibi PostgreSQL JDBC sürücüsüne özgü parametreleri kullanarak bu kontrolleri atlayabilir. Bu durum, kimlik doğrulaması yapmamış saldırganların H2O-3 sunucusunda, H2O-3 işleminin ayrıcalıklarıyla rastgele kod çalıştırmasına olanak tanır. Sorun 3.46.0.10 sürümünde giderilmiştir.
Nasıl düzeltilir
- h2o h2o3.46.0.10 ya da sonraki bir sürüm
- h2o3.46.0.10 ya da sonraki bir sürüm
- ai.h2o:h2o-core3.46.0.10 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| h2o h2o | v < 3.46.0.10 | 3.46.0.10 |
| h2oPyPI | v < 3.46.0.10 | 3.46.0.10 |
| ai.h2o:h2o-coreMaven | v < 3.46.0.10 | 3.46.0.10 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.