Analityczne wykorzystywanie plików cookies
Krytyczna luka w Metabase umożliwiająca zdalne wykonanie kodu
Metabase przed wersjami 1.58.15 i pokrewnymi umożliwia zdalne wykonanie kodu przez zapytania H2. Zalecana szybka aktualizacja i monitoring.
- CVSS
- 9.9 CRITICAL
- EPSS
- 89.83%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- metabase
Co wiadomo
Metabase, narzędzie do analizy biznesowej, ma krytyczną lukę w wersjach przed 1.58.15, 1.59.12, 1.60.6.3 i 1.61.1.4. Luka pozwala uwierzytelnionym użytkownikom wykonującym zapytania natywne H2 na uruchomienie dowolnego kodu na serwerze Metabase.
Wpływ biznesowy
Luka ta umożliwia zdalne wykonanie kodu przez użytkowników z uprawnieniami do uruchamiania zapytań natywnych H2, co może prowadzić do przejęcia kontroli nad serwerem Metabase. Organizacje korzystające z podatnych wersji i bazy H2 są narażone na poważne zagrożenia bezpieczeństwa, w tym utratę danych i przerwy w działaniu usług.
Rekomendowane działania administratora
Zaleca się niezwłoczne zaktualizowanie Metabase do wersji 1.58.15, 1.59.12, 1.60.6.3 lub 1.61.1.4, w zależności od używanej linii wersji. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do funkcji uruchamiania zapytań natywnych H2 oraz monitoruj logi pod kątem podejrzanej aktywności. Warto również przeprowadzić przegląd ekspozycji sieciowej i zweryfikować kopie zapasowe. DataHouse może pomóc w weryfikacji wersji, zarządzaniu aktualizacjami oraz monitoringu bezpieczeństwa.