H2O-3 JDBC反序列化漏洞（CVE-2025-6544）
💡
原文中文，约1100字，阅读约需3分钟。
📝
内容提要
绿盟科技CERT监测到H2O-3发布安全更新，修复了JDBC反序列化漏洞（CVE-2025-6544），该漏洞允许未经身份验证的攻击者进行任意文件读取和远程代码执行。受影响版本为H2O-3 <= 46.0.8，用户应尽快升级。
🎯
关键要点
- 绿盟科技CERT监测到H2O-3发布安全更新，修复JDBC反序列化漏洞（CVE-2025-6544）。
- 该漏洞允许未经身份验证的攻击者进行任意文件读取和远程代码执行，CVSS评分为9.8。
- 受影响版本为H2O-3 <= 46.0.8，用户应尽快升级。
- 绿盟科技提供外部攻击面管理服务（EASM）支持漏洞风险排查。
- 用户可使用绿盟科技的自动化渗透测试工具（EZ）进行H2O-3的指纹识别排查。
- 官方已发布新版本修复此漏洞，受影响用户应尽快升级。
- 若无法升级，可对H2O-3端口进行访问限制作为临时防护措施。
- 本安全公告不提供任何保证，使用者需自行承担后果。
❓
延伸问答
CVE-2025-6544漏洞的主要风险是什么？
CVE-2025-6544漏洞允许未经身份验证的攻击者进行任意文件读取和远程代码执行，CVSS评分为9.8。
哪些版本的H2O-3受到CVE-2025-6544漏洞的影响？
受影响的版本为H2O-3 <= 46.0.8。
用户应该如何应对CVE-2025-6544漏洞？
用户应尽快升级到H2O-3的最新版本以修复此漏洞，若无法升级，可对H2O-3端口进行访问限制作为临时防护措施。
绿盟科技提供了哪些工具来帮助检测此漏洞？
绿盟科技提供了自动化渗透测试工具（EZ）支持H2O-3的指纹识别排查。
H2O-3是什么类型的平台？
H2O-3是一个开源、分布式、可扩展的机器学习平台，用于在大数据上快速构建和部署机器学习模型。
绿盟科技对CVE-2025-6544漏洞的监测结果是什么？
绿盟科技CERT监测到H2O-3发布安全更新，修复了CVE-2025-6544漏洞。
➡️
