CVE-2024-6854
Publiée le 2025-03-20 · Dernière modification le 2026-06-17
Les serveurs H2O.ai (h2o-3) version 3.46.0 sont affectés par une faille dans la fonctionnalité d'exportation de modèles qui permet à un utilisateur de remplacer n'importe quel fichier du système de fichiers du serveur par un fichier de modèle. Un attaquant disposant d'un accès authentifié basique et d'une connectivité réseau peut déclencher cette vulnérabilité pour faire planter le système ou interrompre les services en remplaçant des fichiers critiques. Cela ne nécessite aucune interaction particulière de l'utilisateur et est relativement facile à exécuter une fois connecté.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In h2oai/h2o-3 version 3.46.0, the endpoint for exporting models does not restrict the export location, allowing an attacker to export a model to any file in the server's file structure, thereby overwriting it. This vulnerability can be exploited to overwrite any file on the target server with a trained model file, although the content of the overwrite is not controllable by the attacker.