CVE-2026-59827: Metabase の H2 ネイティブクエリにおける安全でない逆シリアル化

重大度: Critical (CVSS 9.9)

CVE: CVE-2026-59827

アドバイザリ: GHSA-w95f-x9v9-wv36

報告者: Matheus Gutierre (@Gutierre0x80)

公開日: 2026年6月30日

脆弱性の概要

H2 データベース上のネイティブ SQL クエリにアクセスできる認証済みユーザーは、SELECT CAST(X'...' AS OTHER) クエリから返された Java オブジェクトの安全でない逆シリアル化を介して、Metabase サーバー上で任意の Java コードを実行できます。

デフォルトの Metabase インストールには H2 サンプルデータベースが含まれており、この脆弱性はすべてのデフォルトデプロイメントで悪用可能です。

影響を受けるバージョン

• Metabase >= 1.58.0, < 1.58.15
• Metabase >= 1.59.0, < 1.59.12
• Metabase >= 1.60.0, < 1.60.6.3
• Metabase >= 1.61.0, < 1.61.1.4

修正済みバージョン

• Metabase 1.58.15
• Metabase 1.59.12
• Metabase 1.60.6.3
• Metabase 1.61.1.4

インストール

前提条件

• Python 3.7+
• requests ライブラリ: pip install requests
• Java (OpenJDK 11+)
• JAR ファイルが exploit.py と同じディレクトリにあること:
• clojure-1.12.3.jar (ペイロード生成に必要)

セットアップ

すべての前提条件がインストールされ、PATH で利用可能であることを確認してください:

# Install Python requests library
pip install requests

# Verify Java is available (OpenJDK 11+)
java -version

# Verify Python 3.7+
python3 --version

次に、poc/ ディレクトリからエクスプロイトを実行します:

cd poc/
python3 exploit.py <target_url> <username> <password> <command>

スクリプトは実行前に、作業ディレクトリに clojure-1.12.3.jar と VarChainPayload.class が存在することを検証します。

使用方法

python3 exploit.py <target_url> <username> <password> <command>

引数

使用例

python3 exploit.py http://127.0.0.1:3000 [email protected] Admin1234! "id > /tmp/pwned.txt"

コマンドは Metabase プロセスのコンテキストで実行されます（通常は Docker 内の metabase ユーザー）。

技術的詳細

H2 の OTHER 列タイプは、JEP-290 フィルタリングなしの素の ObjectInputStream を使用して Java オブジェクトを逆シリアル化します。これにより、任意のクラスのインスタンス化が可能になります。

ペイロードは、Clojure のシリアライズ可能なクラス（clojure.core$apply、clojure.lang.Var$Serialized、PersistentList）と Java の PriorityQueue を組み合わせたガジェットチェーンを使用して、clojure.core/eval 経由でコード実行をトリガーします。

詳細な技術分析については writeup/analysis.md を参照してください。

参照

• 公式アドバイザリ: https://github.com/metabase/metabase/security/advisories/GHSA-w95f-x9v9-wv36
• CVE 詳細: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-59827