开源BI分析工具 Metabase 中存在远程代码执行漏洞，未完全修复

最新推荐文章于 2024-07-15 10:51:30 发布

奇安信代码卫士

最新推荐文章于 2024-07-15 10:51:30 发布

阅读量346

点赞数

版权

Metabase，一款流行的开源BI工具，被发现存在CVE-2023-38646漏洞，允许未认证攻击者执行任意命令。此漏洞影响多个版本，用户应尽快升级至不受影响的版本以防止潜在的系统入侵和数据泄露。奇安信代码卫士建议用户关注并采取行动。

摘要由CSDN通过智能技术生成

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

在商业情报 (BI) 领域，开源工具 Metabase 以无缝的数据解释能力占据一席之地。该自助服务BI工具已用于全球各地的组织机构中，赋能用户提出数据问题并获得可视化的、易于理解的答案。Metabase 的设计对用户友好，无需了解SQL或其它编程语言的知识，扩宽了组织机构中的可用性。

Metabase 与多种数据来源相连，如关系数据库、云存储和平面文件等，展现出其灵活性。一旦数据来源被限，用户可使用未编译的拖拽界面创建查询，使 Metabase 能够创建数据可视化如图表、图形和表格。

功能强大的Metabase 中被指存在一个非常严重的漏洞CVE-2023-38646，可导致未认证攻击者以与 Metabase 服务器相同的权限执行任意命令。该漏洞意味着 Metabase 可成为恶意攻击的潜在入口点，从而攻陷所运营系统的完整性。

该漏洞对Metabase 社区版和企业版的几个版本也带来影响。受影响的社区版为 0.43 到0.46，而企业版的受影响版本是1.43到1.46。不过它们也有不受影响的版本：社区版0.43.7.2及后续版本以及企业版1.43.7.2及后续版本。

强烈建议用户立即升级至不受影响的 Metabase 版本。该漏洞可导致攻击者利用并攻陷系统，从而导致重大的数据泄露事故以及业务运营被中断。

另外，有安全研究员表示，Metabase 并未将已修复代码发布在开源仓库中，因此使用 Metabase 开源版本的用户仍然易受攻击。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

推荐阅读

奇安信入选全球《静态应用安全测试全景图》代表厂商

原文链接

https://securityonline.info/cve-2023-38646-remote-command-execution-vulnerability-in-metabase/

题图：Pexels License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

觉得不错，就点个 “在看” 或 "赞” 吧~

关注