FICHE CVE

CVE-2024-1456

Publiée le 2024-04-16 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les utilisateurs du logiciel H2O-3 peuvent être exposés à un compartiment Amazon S3 mal configuré, utilisé pour le matériel de formation. Un attaquant qui réussirait à prendre le contrôle de ce compartiment pourrait remplacer des fichiers légitimes par des fichiers malveillants, lesquels pourraient ensuite être téléchargés et exécutés par un utilisateur. Cela ne nécessite aucun privilège particulier, mais l'attaquant a besoin que l'utilisateur interagisse avec les fichiers malveillants.

CVSS 3.07.1 ÉLEVÉE

Type de faiblesse

CWE-840

Publiée2024-04-16

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

An S3 bucket takeover vulnerability was identified in the h2oai/h2o-3 repository. The issue involves the S3 bucket 'http://s3.amazonaws.com/h2o-training', which was found to be vulnerable to unauthorized takeover.