CVE-2024-5550

h2oai/h2o-3 versão 3.40.0.4

O problema é causado por um recurso de pesquisa arbitrária de caminhos do sistema, permitindo que qualquer usuário remoto visualize os caminhos completos em todo o sistema de arquivos onde o h2o-3 está hospedado. Especificamente, o problema reside na chamada da API Typeahead, que, quando solicitada com uma pesquisa de autocompletar de ‘/’, expõe o sistema de arquivos raiz, incluindo diretórios como /home, /usr, /bin, entre outros. Isso poderia permitir que invasores explorassem todo o sistema de arquivos e, quando combinado com uma vulnerabilidade de Inclusão de Arquivo Local (LFI), poderia tornar a exploração do servidor trivial.

Para a versão 3.40.0.4, como solução temporária, considere restringir o acesso à chamada da API Typeahead até que um patch esteja disponível. Evite usar a chamada da API Typeahead com uma pesquisa de autocompletar de ‘/’ para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.