CVE-2023-38646 - Metabase 事前認証RCE

Metabaseオープンソース版 0.46.6.1 より前、および Metabase Enterprise 1.46.6.1 より前のバージョンでは、攻撃者がサーバの権限レベルで任意のコマンドを実行できます。認証は不要です。その他の修正バージョンは 0.45.4.1、1.45.4.1、0.44.7.1、1.44.7.1、0.43.7.2、1.43.7.2 です。

PoC 手順

1. http://vulnerablehost.com/api/session/properties に移動する
2. 「setup-token」を特定する
3. コラボレーターURLを取得する（BurpSuiteでテスト済み）
4. PoCスクリプトを以下のオプションで実行する：
   • -u - ターゲットURL
   • -t - セットアップトークン
   • -c - コラボレーターURL
   • python3 CVE-2023-38646.py -u <target> -t <setup-token> -c <collaborator-url>
5. コラボレーターからのコールバックを確認する

参考文献

• https://www.metabase.com/blog/security-advisory
• https://blog.calif.io/p/reproducing-cve-2023-38646-metabase
• https://blog.assetnote.io/2023/07/22/pre-auth-rce-metabase/