【严重】Metabase 基于H2引擎的远程代码执行漏洞

漏洞描述

Metabase 是一个开源的数据分析和可视化工具。

由于 CVE-2023-38646 的补丁(从H2 JDBC连接字符串中删除INIT脚本以防止命令注入)修复不完全，Metabase 仍受到命令注入的影响。攻击者可使用 H2 作为数据库引擎，通过 /api/setup/validate 端点发送恶意构造的 JDBC URI 字符串，在不加载 INIT 脚本的情况下远程执行任意命令。

漏洞名称	Metabase 基于H2引擎的远程代码执行漏洞
漏洞类型	代码注入
发现时间	2023/7/31
漏洞影响广度	广
MPS编号	MPS-s5nj-29cx
CVE编号	CVE-2023-37470
CNVD编号	-

影响范围

Metabase@[0.46.6, 0.46.6.4)

Metabase@[0.45.4, 0.45.4.3)

Metabase@[0.44.7, 0.44.7.3)

Metabase@[0.43.7, 0.43.7.3)