KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2024-10553 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
H2O-3是由h2oai开发的机器学习平台，支持JDBC，包括MySQL、PostgreSQL等数据库连接，用于数据科学和机器学习任务。
受影响版本中的/99/ImportSQLTable和/3/SaveToHiveTable接口存在JDBC反序列化漏洞，由于未对传入的JDBC URL参数进行充分校验，导致攻击者可以通过构造恶意的JDBC URL，连接至攻击者可控的mysql服务器，进而利用Jackson-databind作为gadget执行任意代码。
影响范围
应用：h2o h2o（版本 3.46.0.4）
解决方案
将组件 ai.h2o:h2o-core 升级至 3.47.0 及以上版本。
参考信息
https://github.com/h2oai/h2o-3/commit/ac1d642b4d86f10a02d75974055baf2a4b2025ac
https://huntr.com/bounties/e6f550dd-eda2-428c-a740-ed8f893a084b
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。