h2o अप्रत्याशित POST अनुरोध के कारण सर्वर बंद होने के प्रति संवेदनशील (vulnerable to unexpected POST request shutting down server)

यह भेद्यता हमलावर को h2o सर्वर को क्रैश करने और सेवा बाधित करने की अनुमति देती है। चूंकि h2o का उपयोग मशीन लर्निंग मॉडल को प्रशिक्षित करने और तैनात करने के लिए किया जाता है, इसलिए इस भेद्यता का शोषण डेटा हानि, सिस्टम डाउनटाइम और संभावित वित्तीय नुकसान का कारण बन सकता है। हमलावर इस भेद्यता का उपयोग अन्य सिस्टम तक पहुंचने के लिए भी कर सकते हैं यदि h2o सर्वर नेटवर्क पर अन्य संसाधनों तक पहुंच रखता है। यह भेद्यता विशेष रूप से महत्वपूर्ण है क्योंकि h2o का उपयोग कई संगठनों द्वारा महत्वपूर्ण अनुप्रयोगों में किया जाता है।

Organizations deploying h2o-3 for machine learning tasks, particularly those using versions 3.46.0 and earlier, are at risk. This includes data science teams, machine learning engineers, and any applications that rely on h2o-3 for model training or prediction. Shared hosting environments where h2o-3 is installed could also be vulnerable if the underlying infrastructure is not properly secured.

• python / library: Inspect installed h2o-3 versions using pip show h2o. If the version is ≤3.46.0, the system is vulnerable. • python / library: Use import h2o; print(h2o.version) to programmatically check the version. • generic web: Monitor server logs for errors related to MojoConvertTool or the run_tool command, which may indicate an attempted exploit.

1. 2024-06-27Disclosure

   disclosure

1. आरक्षित2024-06-13
2. प्रकाशित2024-06-27
3. संशोधित2025-10-16
4. EPSS अद्यतन2026-04-02

इस भेद्यता को कम करने के लिए, h2o को संस्करण 3.46.0.6 या उच्चतर में अपग्रेड करने की अनुशंसा की जाती है। यदि अपग्रेड संभव नहीं है, तो run_tool कमांड के उपयोग को सीमित करने या इनपुट सत्यापन लागू करने पर विचार करें। इसके अतिरिक्त, फ़ायरवॉल नियमों को कॉन्फ़िगर करके या वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके अनधिकृत पहुंच को सीमित किया जा सकता है। सर्वर लॉग की नियमित रूप से निगरानी करना भी महत्वपूर्ण है ताकि किसी भी संदिग्ध गतिविधि का पता लगाया जा सके।