Execução Remota de Código (Remote Code Execution) no H2O via Importação de Modelo POJO

A exploração bem-sucedida do CVE-2023-6016 permite a um atacante executar código arbitrário no servidor H2O Dashboard com privilégios equivalentes aos do processo do dashboard. Isso significa que o atacante pode instalar malware, roubar dados confidenciais, modificar a configuração do sistema ou usar o servidor como ponto de apoio para ataques a outros sistemas na rede. O impacto é severo, pois a falha permite o comprometimento completo do servidor, potencialmente levando a uma violação de dados em larga escala ou interrupção do serviço. A vulnerabilidade se assemelha a outras falhas de deserialização insegura que permitiram a execução remota de código em diversas aplicações.

Organizations heavily reliant on H2O for machine learning tasks, particularly those exposing the H2O dashboard to external networks or untrusted users, are at significant risk. Environments where model import functionality is frequently used, especially with models sourced from external providers, are also particularly vulnerable. Legacy H2O deployments that have not been regularly updated are at heightened risk.

• java / server: Monitor H2O server logs for suspicious activity related to model imports. Look for errors or unusual processes being spawned.

journalctl -u h2o -f | grep -i "error" 

• java / supply-chain: Examine any third-party libraries or dependencies used by the H2O server for potential vulnerabilities. • generic web: Monitor network traffic to the H2O dashboard for unusual requests or data uploads. • java / server: Use a Java profiler to monitor memory usage and identify potential deserialization vulnerabilities.

1. 2023-11-16Disclosure

   disclosure

1. Reservado2023-11-08
2. Publicada2023-11-16
3. Modificada2024-08-02
4. EPSS atualizado2026-04-02

A mitigação primária para o CVE-2023-6016 é a atualização para a versão corrigida do H2O Dashboard, assim que estiver disponível. Enquanto a atualização não for possível, considere desabilitar temporariamente a funcionalidade de importação de modelos POJO, se não for essencial para as operações. Implementar controles de acesso rigorosos para limitar quem pode importar modelos POJO pode reduzir o risco. Monitore os logs do sistema em busca de atividades suspeitas relacionadas à importação de modelos. Após a atualização, verifique a integridade do sistema e confirme que a funcionalidade de importação de modelos POJO está funcionando conforme o esperado, sem apresentar sinais de comprometimento.