一、 漏洞 CVE-2024-6960 基础信息
漏洞标题
H2O在反序列化ML模型时不进行过滤，这可能会导致执行恶意代码
来源：AIGC 神龙大模型
漏洞描述信息
H2O机器学习平台使用“Iced”类作为在集群间移动Java对象的主要方式。Iced格式支持包含序列化的Java对象。当模型被反序列化时，任何类都可以被反序列化（没有类白名单）。攻击者可以构建一个精心设计的Iced模型，利用Java工具包，并在导入到H2O平台时导致任意代码执行。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
来源：AIGC 神龙大模型
漏洞类别
可信数据的反序列化
来源：AIGC 神龙大模型
漏洞标题
H2O deserializes ML models without filtering, potentially allowing execution of malicious code
来源：美国国家漏洞数据库 NVD
漏洞描述信息
The H2O machine learning platform uses "Iced" classes as the primary means of moving Java Objects around the cluster. The Iced format supports inclusion of serialized Java objects. When a model is deserialized, any class is allowed to be deserialized (no class whitelist). An attacker can construct a crafted Iced model that uses Java gadgets and leads to arbitrary code execution when imported to the H2O platform.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
来源：美国国家漏洞数据库 NVD
漏洞类别
可信数据的反序列化
来源：美国国家漏洞数据库 NVD
漏洞标题
H2O 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
H2O是一个用于分布式、可扩展机器学习的内存平台。 H2O存在安全漏洞。攻击者利用该漏洞可以通过将精心构建的Iced模型导入到H2O平台来执行任意代码。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2024-6960 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2024-6960 的情报信息