機械学習フレームワーク「H2O-3」に深刻な脆弱性

機械学習フレームワーク「H2O-3」に脆弱性が明らかとなった。ソースリポジトリで修正が行われている。

マスターブランチである「同3.47.0.99999」において「JDBC」の接続処理に不備があり、信頼できないデータをデシリアライズするおそれがある脆弱性「CVE-2025-6507」が明らかとなったもの。

「CVE-2024-45758」「CVE-2024-10553」の修正パッチが、空白文字の活用によって回避可能であることが判明。

悪意あるパラメータの挿入を防ぐ正規表現フィルタをバイパスすることが可能で、「MySQL」の「JDBCドライバ」経由で任意のファイルを読み取ったり、コードを実行することが可能となる。

「H2O-3 REST API」においても、「JDBC接続」においてパラメータの検証が適切に行われておらず、リモートよりコードを実行されるおそれがある「CVE-2025-5662」が判明した。「MySQL JDBCドライバ」および「JDK」の特定バージョンが影響を受ける。

（Security NEXT - 2025/09/09 ）ツイート