CVE-2026-59827: إلغاء تسلسل غير آمن في Metabase عبر استعلامات H2 الأصلية

الخطورة: حرجة (CVSS 9.9)

CVE: CVE-2026-59827

الإعلان الأمني: GHSA-w95f-x9v9-wv36

المُبلِّغ: Matheus Gutierre (@Gutierre0x80)

تاريخ النشر: 30 يونيو 2026

ملخص الثغرة

يمكن لمستخدم مُصادَق يملك صلاحية الوصول إلى استعلامات SQL الأصلية على قاعدة بيانات H2 تنفيذ أكواد Java عشوائية على خادم Metabase عبر إلغاء تسلسل غير آمن لكائنات Java التي يتم إرجاعها من استعلامات SELECT CAST(X'...' AS OTHER).

يتضمن تثبيت Metabase الافتراضي قاعدة بيانات H2 نموذجية، مما يجعل هذه الثغرة قابلة للاستغلال في جميع النشرات الافتراضية.

الإصدارات المتأثرة

• Metabase >= 1.58.0، < 1.58.15
• Metabase >= 1.59.0، < 1.59.12
• Metabase >= 1.60.0، < 1.60.6.3
• Metabase >= 1.61.0، < 1.61.1.4

الإصدارات المصحَّحة

• Metabase 1.58.15
• Metabase 1.59.12
• Metabase 1.60.6.3
• Metabase 1.61.1.4

التثبيت

المتطلبات الأساسية

• Python 3.7+
• مكتبة requests: pip install requests
• Java (OpenJDK 11+)
• يجب أن يكون ملف JAR في نفس المجلد الذي يوجد به exploit.py:
• clojure-1.12.3.jar (مطلوب لتوليد الحمولة)

الإعداد

تأكد من تثبيت جميع المتطلبات الأساسية وتوفرها في PATH:

# تثبيت مكتبة requests الخاصة بـ Python
pip install requests

# التحقق من توفر Java (OpenJDK 11+)
java -version

# التحقق من Python 3.7+
python3 --version

ثم قم بتشغيل الاستغلال من مجلد poc/:

cd poc/
python3 exploit.py <target_url> <username> <password> <command>

يتحقق السكربت من وجود clojure-1.12.3.jar و VarChainPayload.class في مجلد العمل قبل التنفيذ.

الاستخدام

python3 exploit.py <target_url> <username> <password> <command>

الوسائط

مثال

python3 exploit.py http://127.0.0.1:3000 [email protected] Admin1234! "id > /tmp/pwned.txt"

يتم تنفيذ الأمر في سياق عملية Metabase (عادةً مستخدم metabase في Docker).

التفاصيل التقنية

يقوم نوع العمود OTHER في H2 بإلغاء تسلسل كائنات Java باستخدام ObjectInputStream مكشوف دون أي تصفية JEP-290. وهذا يسمح بإنشاء أي صنف (class) بشكل تعسفي.

تستخدم الحمولة سلسلة أدوات (gadget chain) مبنية على أصناف Clojure القابلة للتسلسل (clojure.core$apply، clojure.lang.Var$Serialized، و PersistentList) مدمجة مع PriorityQueue في Java لتفعيل تنفيذ الأكواد عبر clojure.core/eval.

انظر writeup/analysis.md للتحليل التقني الكامل.

المراجع

• الإعلان الرسمي: https://github.com/metabase/metabase/security/advisories/GHSA-w95f-x9v9-wv36
• تفاصيل CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-59827