Vulnerabilidad en H2O (CVE-2024-6960)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-502 Deserialización de datos no confiables

Fecha de publicación:

21/07/2024

Última modificación:

25/11/2024

Descripción

La plataforma de aprendizaje automático H2O utiliza clases "Iced" como medio principal para mover objetos Java por el clúster. El formato Iced admite la inclusión de objetos Java serializados. Cuando se deserializa un modelo, se permite deserializar cualquier clase (sin lista blanca de clases). Un atacante puede construir un modelo Iced manipulado que utiliza dispositivos Java y conduce a la ejecución de código arbitrario cuando se importa a la plataforma H2O.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

7.50

Gravedad 3.x

ALTA

Vulnerabilidad en H2O (CVE-2024-6960)

Descripción

Impacto

Referencias a soluciones, herramientas e información