CVE

Vulnerabilidad en h2oai/h2o-3 (CVE-2024-5550)

Severidad:
MEDIA
Type:
CWE-200 Revelación de información
Fecha de publicación:
06/06/2024
Última modificación:
07/06/2024

Descripción

En h2oai/h2o-3 versión 3.40.0.4, existe una vulnerabilidad de exposición de información confidencial debido a una función de búsqueda de ruta arbitraria del sistema. Esta vulnerabilidad permite a cualquier usuario remoto ver las rutas completas en todo el sistema de archivos donde está alojado h2o-3. Específicamente, el problema reside en la llamada API Typeahead, que cuando se solicita con una búsqueda anticipada de '/', expone el sistema de archivos raíz, incluidos directorios como /home, /usr, /bin, entre otros. Esta vulnerabilidad podría permitir a los atacantes explorar todo el sistema de archivos y, cuando se combina con una vulnerabilidad de inclusión de archivos locales (LFI), podría hacer que la explotación del servidor sea trivial.

Impacto

Vector 3.x
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.30 MEDIA
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x
5.30
Severidad 3.x
MEDIA

Referencias a soluciones, herramientas e información