CVE-2026-33725

概要

Metabaseは、オープンソースのビジネスインテリジェンスおよび組み込み分析ツールです。バージョン1.54.22、1.55.22、1.56.22、1.57.16、1.58.10、1.59.4より前のMetabase Enterpriseでは、認証済みの管理者が`POST /api/ee/serialization/import`エンドポイントを介してリモートコード実行（RCE）および任意のファイル読み取りを達成できます。巧妙に細工されたシリアライゼーションアーカイブがH2 JDBC仕様に`INIT`プロパティを注入し、データベース同期中に任意のSQLを実行できます。これはMetabase Cloudで可能であることを確認しました。これはMetabase Enterpriseのみに影響します。Metabase OSSには影響を受けるコードパスがありません。シリアライゼーション機能を持つMetabase Enterpriseの全バージョン（少なくともバージョン1.47まで遡る）が影響を受けます。Metabase Enterpriseバージョン1.54.22、1.55.22、1.56.22、1.57.16、1.58.10、および1.59.4でこの問題は修正されています。回避策として、Metabaseインスタンスでシリアライゼーションインポートエンドポイントを無効にし、影響を受けるコードパスへのアクセスを防ぎます。

• CVE-2026-33725エクスプロイト

  CVE-2026-33725の概念実証エクスプロイト。Metabase EnterpriseのシリアライゼーションインポートにおけるH2 JDBC INITインジェクションを介して、リモートコード実行と任意のファイル読み取りを実現します。