CVE-2025-0782

Nome do Software Vulnerável e Versões Afetadas h2oai/h2o-3 (versões afetadas não especificadas)

Descrição Uma vulnerabilidade na configuração do bucket S3 permite acesso de escrita público ao bucket 'h2o-release'. Isso poderia permitir que um atacante sobrescrevesse qualquer arquivo no bucket, potencialmente resultando em execução remota de código (RCE) para qualquer usuário que utilize a aplicação. Um atacante também poderia modificar a documentação para incluir links de download maliciosos.

Recomendações Como medida temporária, considere restringir o acesso de escrita ao bucket 'h2o-release' até que uma correção de configuração adequada seja aplicada. Evite utilizar o bucket S3 para baixar arquivos binários, como JARs, até que o problema seja resolvido. Restrinja o acesso à documentação do bucket para prevenir a modificação dos links de download. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.