Vulnerabilidad en h2oai/h2o-3 (CVE-2024-5550)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-200 Revelación de información

Fecha de publicación:

06/06/2024

Última modificación:

12/02/2025

Descripción

En h2oai/h2o-3 versión 3.40.0.4, existe una vulnerabilidad de exposición de información confidencial debido a una función de búsqueda de ruta arbitraria del sistema. Esta vulnerabilidad permite a cualquier usuario remoto ver las rutas completas en todo el sistema de archivos donde está alojado h2o-3. Específicamente, el problema reside en la llamada API Typeahead, que cuando se solicita con una búsqueda anticipada de &#39;/&#39;, expone el sistema de archivos raíz, incluidos directorios como /home, /usr, /bin, entre otros. Esta vulnerabilidad podría permitir a los atacantes explorar todo el sistema de archivos y, cuando se combina con una vulnerabilidad de inclusión de archivos locales (LFI), podría hacer que la explotación del servidor sea trivial.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno