CVE-2026-72898: Metabase セットアップエンドポイント SQLi パッチ

このリポジトリには、セルフホスト型 Metabase インスタンスのセットアップエンドポイントにおける未認証の SQL インジェクション脆弱性である CVE-2026-72898 のホットフィックスが含まれています。

未パッチのまま放置すると、攻撃者はセットアップトークンの検証をバイパスし、任意のデータベースコマンドを実行して、データウェアハウスの認証情報を抽出できます。

根本原因

validate-setup-token 関数は従来、検証されていないユーザー入力を受け入れ、それを生の JDBC 文字列に直接連結していました。これにより、攻撃者は SQL 文字列から抜け出して悪意のあるコマンドを追加できました。

パッチのアーキテクチャ

このパッチは検証メカニズムを根本的に変更し、SQL インジェクションベクトルを無効化します。

1. ORM 統合: データベースクエリを生の文字列から、Metabase ネイティブのオブジェクトリレーショナルマッパーである Toucan 2 (t2) に移行します。
2. 入力の分離: システムはトークンを検証するためにユーザー入力をデータベースに渡さなくなりました。代わりに、厳密なパラメータ化を使用して、データベースに対して期待されるトークンをクエリします。
3. インメモリ検証: crypto.equality/eq? を使用して、データベース内ではなくアプリケーションメモリ (Clojure) でトークンを比較します。
4. タイミング攻撃耐性: crypto.equality/eq? 関数は定数時間で実行されるため、攻撃者がタイミングの差異を利用してトークンをブルートフォースすることを防ぎます。

実装の詳細

metabase.api.setup 内の脆弱な生の jdbc/query ロジックを置き換えます。

ライセンス

Metabase は AGPL のもとでライセンスされています。このパッチも同じ条件で提供されます。