¡¾Îó²îͨ¸æ¡¿MetabaseÔ¶³Ì´úÂëÖ´ÐÐÎó²î£¨CVE-2023-38646£©

Ðû²¼Ê±¼ä 2023-07-25

Ò»¡¢Îó²î¸ÅÊö

CVE   ID

CVE-2023-38646

·¢Ã÷ʱ¼ä

2023-07-24

Àà    ÐÍ

RCE

µÈ    ¼¶

¸ßΣ

¹¥»÷ÏòÁ¿

ÍøÂç

ËùÐèȨÏÞ

ÎÞ

¹¥»÷ÖØÆ¯ºó

µÍ

Óû§½»»¥

ÎÞ

PoC/EXP

δ¹ûÕæ

ÔÚҰʹÓÃ

δ·¢Ã÷

 

MetabaseÊÇÒ»¸öÊý¾Ý¿ªÔ´ÆÊÎöºÍ¿ÉÊÓ»¯¹¤¾ß£¬£¬£¬£¬£¬Ëü¿ÉÒÔ×ÊÖúÓû§ÇáËÉÅþÁ¬µ½ÖÖÖÖÊý¾ÝÔ´£¬£¬£¬£¬£¬°üÀ¨Êý¾Ý¿â¡¢ÔÆÐ§ÀͺÍAPI£¬£¬£¬£¬£¬È»ºóʹÓö´²ìµÄ½çÃæ¾ÙÐÐÊý¾ÝÅÌÎÊ¡¢ÆÊÎöºÍ¿ÉÊÓ»¯¡£¡£¡£ ¡£

7ÔÂ24ÈÕ£¬£¬£¬£¬£¬¼øºÚµ£±£ÍøVSRC¼à²âMetabaseÖÐÐÞ¸´ÁËÒ»¸öÔ¶³Ì´úÂëÖ´ÐÐÎó²î£¨CVE-2023-38646£©¡£¡£¡£ ¡£

Metabase ¿ªÔ´°æ±¾ÔÚ0.46.6.1֮ǰ¡¢ÆóÒµ°æ±¾1.46.6.1֮ǰ±£´æÔ¶³Ì´úÂëÖ´ÐÐÎó²î£¬£¬£¬£¬£¬¿ÉÔÚδ¾­Éí·ÝÑéÖ¤µÄÇéÐÎÏÂʹÓøÃÎó²îÒÔÔËÐÐ Metabase ЧÀÍÆ÷µÄȨÏÞÔÚЧÀÍÆ÷ÉÏÖ´ÐÐí§Òâ´úÂë¡£¡£¡£ ¡£

  

¶þ¡¢Ó°Ïì¹æÄ£

Metabase¿ªÔ´°æ±¾< v0.46.6.1

MetabaseÆóÒµ°æ±¾< v1.46.6.1

Metabase¿ªÔ´°æ±¾< v0.45.4.1

MetabaseÆóÒµ°æ±¾< v1.45.4.1

Metabase¿ªÔ´°æ±¾< v0.44.7.1

MetabaseÆóÒµ°æ±¾< v1.44.7.1

Metabase¿ªÔ´°æ±¾< v0.43.7.2

MetabaseÆóÒµ°æ±¾< v1.43.7.2

 

Èý¡¢Çå¾²²½·¥

3.1 Éý¼¶°æ±¾

ÏÖÔÚ¸ÃÎó²îÒѾ­ÐÞ¸´£¬£¬£¬£¬£¬ÊÜÓ°ÏìÓû§¿ÉÉý¼¶µ½ÒÔϰ汾£º

Metabase ¿ªÔ´°æ±¾>= v0.46.6.1

MetabaseÆóÒµ°æ±¾>= v1.46.6.1

Metabase¿ªÔ´°æ±¾>= v0.45.4.1

MetabaseÆóÒµ°æ±¾>= v1.45.4.1

Metabase¿ªÔ´°æ±¾>= v0.44.7.1

MetabaseÆóÒµ°æ±¾>= v1.44.7.1

Metabase¿ªÔ´°æ±¾<>=v0.43.7.2

MetabaseÆóÒµ°æ±¾<>=v1.43.7.2

ÏÂÔØÁ´½Ó£º

https://github.com/metabase/metabase/releases/tag/v0.46.6.1

3.2 ÔÝʱ²½·¥

ÔÝÎÞ¡£¡£¡£ ¡£

3.3 ͨÓý¨Òé

l  °´ÆÚ¸üÐÂϵͳ²¹¶¡£¡£¡£ ¡£¬£¬£¬£¬£¬ïÔ̭ϵͳÎó²î£¬£¬£¬£¬£¬ÌáÉýЧÀÍÆ÷µÄÇå¾²ÐÔ¡£¡£¡£ ¡£

l  ÔöǿϵͳºÍÍøÂçµÄ»á¼û¿ØÖÆ£¬£¬£¬£¬£¬Ð޸ķÀ»ðǽսÂÔ£¬£¬£¬£¬£¬¹Ø±Õ·ÇÐëÒªµÄÓ¦Óö˿ڻòЧÀÍ£¬£¬£¬£¬£¬ïÔÌ­½«Î£ÏÕЧÀÍ£¨ÈçSSH¡¢RDPµÈ£©Ì»Â¶µ½¹«Íø£¬£¬£¬£¬£¬ïÔÌ­¹¥»÷Ãæ¡£¡£¡£ ¡£

l  ʹÓÃÆóÒµ¼¶Çå¾²²úÆ·£¬£¬£¬£¬£¬ÌáÉýÆóÒµµÄÍøÂçÇå¾²ÐÔÄÜ¡£¡£¡£ ¡£

l  ÔöǿϵͳÓû§ºÍȨÏÞÖÎÀí£¬£¬£¬£¬£¬ÆôÓöàÒòËØÈÏÖ¤»úÖÆºÍ×îСȨÏÞÔ­Ôò£¬£¬£¬£¬£¬Óû§ºÍÈí¼þȨÏÞÓ¦¼á³ÖÔÚ×îµÍÏÞ¶È¡£¡£¡£ ¡£

l  ÆôÓÃÇ¿ÃÜÂëÕ½ÂÔ²¢ÉèÖÃΪ°´ÆÚÐ޸ġ£¡£¡£ ¡£

3.4 ²Î¿¼Á´½Ó

https://www.metabase.com/blog/security-advisory

https://nvd.nist.gov/vuln/detail/CVE-2023-38646

https://github.com/metabase/metabase/issues/32552

 

ËÄ¡¢°æ±¾ÐÅÏ¢

°æ±¾

ÈÕÆÚ

±¸×¢

V1.0

2023-07-25

Ê×´ÎÐû²¼

 

Îå¡¢¸½Â¼

5.1 ¼øºÚµ£±£Íø¼ò½é

¼øºÚµ£±£Íø½¨ÉèÓÚ1996Ä꣬£¬£¬£¬£¬ÊÇÓÉÁôÃÀ²©Ê¿ÑÏÍû¼ÑŮʿ½¨ÉèµÄ¡¢ÓµÓÐÍêÈ«×ÔÖ÷֪ʶ²úȨµÄÐÅÏ¢Çå¾²¸ß¿Æ¼¼ÆóÒµ¡£¡£¡£ ¡£ÊǺ£ÄÚ×î¾ßʵÁ¦µÄÐÅÏ¢Çå¾²²úÆ·¡¢Ç徲ЧÀͽâ¾ö¼Æ»®µÄÁ캽ÆóÒµÖ®Ò»¡£¡£¡£ ¡£

¹«Ë¾×ܲ¿Î»ÓÚ±±¾©ÊÐÖйشåÈí¼þÔ°¼øºÚµ£±£Íø´óÏ㬣¬£¬£¬£¬¹«Ë¾Ô±¹¤6000ÓàÈË£¬£¬£¬£¬£¬Ñз¢ÍŶÓ1200ÓàÈË, ÊÖÒÕЧÀÍÍŶÓ1300ÓàÈË¡£¡£¡£ ¡£ÔÚÌìϸ÷Ê¡¡¢ÊС¢×ÔÖÎÇøÉèÁ¢·ÖÖ§»ú¹¹ÁùÊ®¶à¸ö£¬£¬£¬£¬£¬ÓµÓÐÁýÕÖÌìϵÄÏúÊÛϵͳ¡¢ÇþµÀϵͳºÍÊÖÒÕÖ§³Öϵͳ¡£¡£¡£ ¡£¹«Ë¾ÓÚ2010Äê6ÔÂ23ÈÕÔÚÉîÛÚÖÐС°å¹ÒÅÆÉÏÊС£¡£¡£ ¡££¨¹ÉƱ´úÂ룺002439£©

¶àÄêÀ´£¬£¬£¬£¬£¬¼øºÚµ£±£ÍøÖÂÁ¦ÓÚÌṩ¾ßÓйú¼Ê¾ºÕùÁ¦µÄ×ÔÖ÷Á¢ÒìµÄÇå¾²²úÆ·ºÍ×î¼Ñʵ¼ùЧÀÍ£¬£¬£¬£¬£¬×ÊÖú¿Í»§ÖÜÈ«ÌáÉýÆäIT»ù´¡ÉèÊ©µÄÇå¾²ÐÔºÍÉú²úЧÄÜ£¬£¬£¬£¬£¬Îª´òÔìºÍÌáÉý¹ú¼Ê»¯µÄÃñ×åÐÅÏ¢Çå¾²¹¤ÒµÁì¾üÆ·ÅÆ¶ø²»Ð¸Æð¾¢¡£¡£¡£ ¡£

5.2 ¹ØÓÚ¼øºÚµ£±£Íø

¼øºÚµ£±£ÍøÇå¾²Ó¦¼±ÏìÓ¦ÖÐÐÄÒÑÐû²¼1000¶à¸öÎó²îͨ¸æºÍΣº¦Ô¤¾¯£¬£¬£¬£¬£¬ÎÒÃǽ«Ò»Á¬¸ú×ÙÈ«Çò×îеÄÍøÂçÇå¾²ÊÂÎñºÍÎó²î£¬£¬£¬£¬£¬ÎªÆóÒµµÄÐÅÏ¢Çå¾²±£¼Ý»¤º½¡£¡£¡£ ¡£

¹Ø×¢ÎÒÃÇ£º

image.png