🇰🇷 한글 설명
H2O-3 REST API의 POST /99/ImportSQLTable 엔드포인트에서 JDBC 연결 파라미터의 부적절한 검증으로 인한 역직렬화 취약점이 존재한다. 이를 통해 공격자가 원격 코드 실행(RCE)에 성공할 수 있으며, 영향받는 버전은 3.46.0.7 이하이고 3.46.0.8에서 패치되었다.
💡 쉬운 설명
H2O-3 데이터 분석 도구의 웹 인터페이스에서 악의적인 명령을 전송하면 서버에서 임의의 코드를 실행할 수 있다. 버전 3.46.0.8 이상으로 업그레이드하면 해결된다.
🇺🇸 원문 (English)
A deserialization vulnerability exists in the H2O-3 REST API (POST /99/ImportSQLTable) that affects all versions up to 3.46.0.7. This vulnerability allows remote code execution (RCE) due to improper validation of JDBC connection parameters when using a Key-Value format. The vulnerability is present in the MySQL JDBC Driver version 8.0.19 and JDK version 8u112. The issue is resolved in version 3.46.0.8.
📍 영향받는 시스템
H2O-3 버전 ≤ 3.46.0.7 (MySQL JDBC Driver 8.0.19, JDK 8u112 환경에서 확인됨)
⚔️ 공격 벡터
POST /99/ImportSQLTable 엔드포인트에 조작된 JDBC 연결 파라미터를 Key-Value 형식으로 전송
🛡️ 대응 방법
H2O-3을 3.46.0.8 이상으로 업그레이드
🔧 검증 코드
명령어 실행 후 버전이 3.46.0.7 이하이면 취약, 3.46.0.8 이상이면 안전
curl -s http://localhost:54321/3/About 2>/dev/null | grep -oP '"version":"\K[^"]*'