CVE-2024-5986: Escrita Arbitrária de Arquivos no h2o-3 pelos Endpoints de Parse e Exportação
A CVE-2024-5986 afeta o h2oai/h2o-3 na versão 3.46.0.1 e, segundo o registro, permite que atacantes remotos gravem dados arbitrários em arquivos do servidor. O registro a associa ao CWE-73 e atribui pontuação base CVSS 3.0 de 9.1 (Crítica), informada pelo CNA security@huntr.dev. Não há exploração confirmada nas fontes consultadas e o registro não lista versão corrigida.
Visão geral
A CVE-2024-5986 foi reportada no projeto h2oai/h2o-3 na versão 3.46.0.1. Segundo o registro, um atacante remoto pode gravar dados controlados por ele em arquivos arbitrários do servidor. O registro classifica a fraqueza como CWE-73.
Impacto
- O registro descreve potencial execução remota de código e acesso completo ao host que executa o h2o-3, pois arquivos críticos, como chaves SSH privadas ou scripts, poderiam ser sobrescritos.
- A pontuação base CVSS 3.0 informada por security@huntr.dev é 9.1 (Crítica). O vetor indica ataque pela rede, baixa complexidade, ausência de privilégios, ausência de interação do usuário e alto impacto na integridade e na disponibilidade.
Produtos e versões afetados
- O registro menciona explicitamente o h2oai/h2o-3 na versão 3.46.0.1.
- A lista estruturada de produtos e versões afetados no registro está vazia, portanto a faixa completa de versões afetadas é desconhecida.
Status de exploração
Nenhuma exploração confirmada aparece nas fontes consultadas. O registro indica que esta CVE não está listada no catálogo CISA KEV, e não há pontuação EPSS disponível.
Correção e mitigação
- O registro não lista versão corrigida. Verifique o repositório do projeto e a página de bounty do huntr para atualizações.
- Planeje a migração para uma versão que trate o problema assim que o fornecedor identificar uma. Enquanto isso, restrinja o acesso de rede aos serviços do h2o-3 apenas a hosts confiáveis.
- Execute o serviço com o menor privilégio possível e limite as permissões de escrita em arquivos e diretórios sensíveis.
Orientações de detecção
- Analise os logs do serviço e da rede em busca de requisições às funções de parsing e exportação de frames vindas de origens não confiáveis.
- Monitore o sistema de arquivos em busca de alterações inesperadas em arquivos sensíveis, incluindo configurações SSH e scripts usados pelo serviço.
Limitações das informações disponíveis
- O registro não fornece versão corrigida, faixa completa de versões afetadas nem aviso oficial do fornecedor.
- O registro não fornece nome do CWE nem título, por isso o título desta análise é descritivo.
- O status da fonte no registro é Deferred, então análises posteriores podem alterar os detalhes.
- Fontes consultadas: entrada no NVD e registro CVE.
Perguntas frequentes
O que a CVE-2024-5986 permite?
Segundo o registro, um atacante remoto pode gravar dados controlados por ele em arquivos arbitrários do servidor que executa o h2oai/h2o-3 na versão 3.46.0.1.
Há exploração ativa conhecida da CVE-2024-5986?
Nenhuma exploração confirmada aparece nas fontes consultadas. O registro indica que a CVE não está no CISA KEV e não possui pontuação EPSS.
Qual versão corrige o problema?
O registro não lista versão corrigida. Verifique o repositório do projeto e a página de bounty do huntr e restrinja o acesso de rede até que uma correção seja confirmada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.