CVE-2025-10768

ŚrednieCVSS 6.3

Opublikowano: 21/09/2025(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.43%

Percentyl 35 - wyżej niż 35% wszystkich znanych CVE

Streszczenie

W h2oai h2o-3 do wersji 3.46.08 wykryto podatność w nieznanej funkcji pliku /99/ImportSQLTable, związanej ze sterownikiem IBMDB2 JDBC. Manipulacja argumentem connection_url prowadzi do deserializacji, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Ocena ryzyka

Zdalny atakujący może wykorzystać podatność deserializacji do wykonania nieautoryzowanych operacji na serwerze, co może prowadzić do przejęcia kontroli nad systemem lub wycieku danych. Brak odpowiedzi producenta oznacza, że poprawka może nie być dostępna.

Rekomendacja

Ogranicz dostęp do interfejsu /99/ImportSQLTable oraz do sterownika IBMDB2 JDBC, a jeśli to możliwe, wstrzymaj używanie podatnej wersji do czasu wydania poprawki. Monitoruj komunikaty producenta i stosuj środki kompensacyjne (np. walidacja danych wejściowych, segmentacja sieci).

Inne podatności w h2o-3

CVE-2026-3960Krytyczne
W H2O-3 w wersji 3.46.0.9 i wcześniejszych występuje krytyczna podatność na zdalne wykonanie kodu w nieautoryzowanym punkcie końcowym REST API /99/ImportSQLTable. Podatność wynika z niewystarczających zabezpieczeń w mechanizmie czarnej listy parametrów, co pozwala atakującym na ominięcie tych zabezpieczeń.

Oryginalny opis (angielski, źródło NVD)

A flaw has been found in h2oai h2o-3 up to 3.46.08. The impacted element is an unknown function of the file /99/ImportSQLTable of the component IBMDB2 JDBC Driver. This manipulation of the argument connection_url causes deserialization. The attack may be initiated remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS