Metabase RCE漏洞【CVE-2023-38646】

免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。

一、 产品简介

​Metabase是一个开源的数据分析和可视化工具，它可以帮助用户轻松地连接到各种数据源，包括数据库、云服务和API，然后使用直观的界面进行数据查询、分析和可视化。

二、 漏洞概述

未经身份认证的远程攻击者利用该漏洞可以在服务器上以运行 Metabase 服务器的权限执行任意命令。值得注意的是，修复后的版本也需要在完成安装后才可修复漏洞，否则依旧存在被攻击者利用的可能性。

三、 影响范围

Metabase open source 0.46 < 0.46.6.1 &&
Metabase Enterprise 1.46 < 1.46.6.1 &&
Metabase open source 0.45 < v0.45.4.1 &&
Metabase Enterprise 1.45 < 1.45.4.1 &&
Metabase open source 0.44 < 0