Metabase远程命令执行漏洞(CVE-2023-38646)安全风险通告

● 点击↑蓝字关注我们，获取更多安全风险通告

漏洞概述
漏洞名称	Metabase 远程命令执行漏洞
漏洞编号	QVD-2023-16920、CVE-2023-38646
公开时间	2023-07-21	影响对象数量级	万级
奇安信评级	高危	CVSS 3.1分数	9.4
威胁类型	命令执行	利用可能性	高
POC状态	未公开	在野利用状态	未发现
EXP状态	未公开	技术细节状态	未公开
危害描述：未经身份认证的远程攻击者利用该漏洞可以执行任意命令。

漏洞详情

>>>>

影响组件

Metabase是一个开源的数据分析和可视化工具，它可以帮助用户轻松地连接到各种数据源，包括数据库、云服务和API，然后使用直观的界面进行数据查询、分析和可视化。

>>>>

漏洞描述

近日，奇安信CERT监测到Metabase官方发布安全更新，修复了Metabase 远程命令执行漏洞(CVE-2023-38646)。未经身份认证的远程攻击者利用该漏洞可以在服务器上以运行 Metabase 服务器的权限执行任意命令。鉴于此漏洞影响范围较大，建议客户尽快做好自查及防护。

影响范围

>>>>

影响版本

Metabase open source 0.46 < 0.46.6.1

Metabase Enterprise 1.46 < 1.46.6.1

Metabase open source 0.45 < v0.45.4.1

Metabase Enterprise 1.45 < 1.45.4.1

Metabase open source 0.44 < 0.44.7.1

Metabase Enterprise 1.44 < 1.44.7.1

Metabase open source 0.43 < 0.43.7.2

Metabase Enterprise 1.43 < 1.43.7.2

>>>>