CVE-2024-5550 in h2o-3
Resumen
por MITRE • 2024-06-06
En h2oai/h2o-3 versión 3.40.0.4, existe una vulnerabilidad de exposición de información confidencial debido a una función de búsqueda de ruta arbitraria del sistema. Esta vulnerabilidad permite a cualquier usuario remoto ver las rutas completas en todo el sistema de archivos donde está alojado h2o-3. Específicamente, el problema reside en la llamada API Typeahead, que cuando se solicita con una búsqueda anticipada de '/', expone el sistema de archivos raíz, incluidos directorios como /home, /usr, /bin, entre otros. Esta vulnerabilidad podría permitir a los atacantes explorar todo el sistema de archivos y, cuando se combina con una vulnerabilidad de inclusión de archivos locales (LFI), podría hacer que la explotación del servidor sea trivial.
VulDB is the best source for vulnerability data and more expert information about this specific topic.