Vulnerabilidad en h2oai/h2o-3 (CVE-2024-5550)
Severidad:
MEDIA
Type:
CWE-200
Revelación de información
Fecha de publicación:
06/06/2024
Última modificación:
07/06/2024
Descripción
En h2oai/h2o-3 versión 3.40.0.4, existe una vulnerabilidad de exposición de información confidencial debido a una función de búsqueda de ruta arbitraria del sistema. Esta vulnerabilidad permite a cualquier usuario remoto ver las rutas completas en todo el sistema de archivos donde está alojado h2o-3. Específicamente, el problema reside en la llamada API Typeahead, que cuando se solicita con una búsqueda anticipada de '/', expone el sistema de archivos raíz, incluidos directorios como /home, /usr, /bin, entre otros. Esta vulnerabilidad podría permitir a los atacantes explorar todo el sistema de archivos y, cuando se combina con una vulnerabilidad de inclusión de archivos locales (LFI), podría hacer que la explotación del servidor sea trivial.
Impacto
Puntuación base 3.x
5.30
Severidad 3.x
MEDIA