CVE-2026-59827: H2 नेटिव क्वेरीज़ में Metabase असुरक्षित डीसेरिएलाइज़ेशन

गंभीरता: क्रिटिकल (CVSS 9.9)

CVE: CVE-2026-59827

परामर्श: GHSA-w95f-x9v9-wv36

रिपोर्टकर्ता: Matheus Gutierre (@Gutierre0x80)

प्रकाशित: 30 जून, 2026

भेद्यता सारांश

H2 डेटाबेस पर नेटिव SQL क्वेरीज़ तक पहुँच रखने वाला एक प्रमाणित उपयोगकर्ता, SELECT CAST(X'...' AS OTHER) क्वेरीज़ से लौटाए गए Java ऑब्जेक्ट्स के असुरक्षित डीसेरिएलाइज़ेशन के माध्यम से Metabase सर्वर पर मनमाना Java कोड निष्पादित कर सकता है।

डिफ़ॉल्ट Metabase इंस्टॉलेशन में एक H2 सैंपल डेटाबेस शामिल होता है, जिससे यह भेद्यता सभी डिफ़ॉल्ट डिप्लॉयमेंट्स पर शोषणीय हो जाती है।

प्रभावित संस्करण

• Metabase >= 1.58.0, < 1.58.15
• Metabase >= 1.59.0, < 1.59.12
• Metabase >= 1.60.0, < 1.60.6.3
• Metabase >= 1.61.0, < 1.61.1.4

पैच किए गए संस्करण

• Metabase 1.58.15
• Metabase 1.59.12
• Metabase 1.60.6.3
• Metabase 1.61.1.4

स्थापना

आवश्यक शर्तें

• Python 3.7+
• requests लाइब्रेरी: pip install requests
• Java (OpenJDK 11+)
• JAR फ़ाइल exploit.py के समान निर्देशिका में होनी चाहिए:
• clojure-1.12.3.jar (पेलोड जनरेशन के लिए आवश्यक)

सेटअप

सुनिश्चित करें कि सभी आवश्यक शर्तें स्थापित हैं और PATH में उपलब्ध हैं:

# Install Python requests library
pip install requests

# Verify Java is available (OpenJDK 11+)
java -version

# Verify Python 3.7+
python3 --version

फिर poc/ निर्देशिका से एक्सप्लॉइट चलाएँ:

cd poc/
python3 exploit.py <target_url> <username> <password> <command>

स्क्रिप्ट निष्पादन से पहले सत्यापित करती है कि clojure-1.12.3.jar और VarChainPayload.class कार्यशील निर्देशिका में मौजूद हैं।

उपयोग

python3 exploit.py <target_url> <username> <password> <command>

आर्गुमेंट

उदाहरण

python3 exploit.py http://127.0.0.1:3000 [email protected] Admin1234! "id > /tmp/pwned.txt"

कमांड Metabase प्रोसेस के संदर्भ में निष्पादित होता है (सामान्यतः Docker में metabase उपयोगकर्ता)।

तकनीकी विवरण

H2 OTHER कॉलम प्रकार बिना JEP-290 फ़िल्टरिंग के एक साधारण ObjectInputStream का उपयोग करके Java ऑब्जेक्ट्स को डीसेरिएलाइज़ करता है। यह मनमानी क्लास इंस्टैंशिएशन की अनुमति देता है।

पेलोड Clojure की सीरिएलाइज़ेबल क्लासेज़ (clojure.core$apply, clojure.lang.Var$Serialized, और PersistentList) पर आधारित एक गैजेट श्रृंखला का उपयोग करता है, जो Java के PriorityQueue के साथ संयुक्त होकर clojure.core/eval के माध्यम से कोड निष्पादन ट्रिगर करती है।

पूर्ण तकनीकी विश्लेषण के लिए writeup/analysis.md देखें।

संदर्भ

• आधिकारिक परामर्श: https://github.com/metabase/metabase/security/advisories/GHSA-w95f-x9v9-wv36
• CVE विवरण: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-59827