CVE-2026-59827: Небезопасная десериализация Metabase в нативных запросах H2

Уровень критичности: Критический (CVSS 9.9)

CVE: CVE-2026-59827

Уведомление: GHSA-w95f-x9v9-wv36

Сообщил: Matheus Gutierre (@Gutierre0x80)

Опубликовано: 30 июня 2026 г.

Сводка по уязвимости

Аутентифицированный пользователь с доступом к нативным SQL-запросам к базе данных H2 может выполнить произвольный Java-код на сервере Metabase через небезопасную десериализацию Java-объектов, возвращаемых запросами SELECT CAST(X'...' AS OTHER).

Стандартная установка Metabase включает демонстрационную базу данных H2, что делает эту уязвимость эксплуатируемой во всех стандартных развертываниях.

Затронутые версии

• Metabase >= 1.58.0, < 1.58.15
• Metabase >= 1.59.0, < 1.59.12
• Metabase >= 1.60.0, < 1.60.6.3
• Metabase >= 1.61.0, < 1.61.1.4

Исправленные версии

• Metabase 1.58.15
• Metabase 1.59.12
• Metabase 1.60.6.3
• Metabase 1.61.1.4

---

Установка

Предварительные требования

• Python 3.7+
• библиотека requests: pip install requests
• Java (OpenJDK 11+)
• JAR-файл должен находиться в той же директории, что и exploit.py:
• clojure-1.12.3.jar (требуется для генерации полезной нагрузки)

Настройка

Убедитесь, что все предварительные требования установлены и доступны в PATH:

# Install Python requests library
pip install requests

# Verify Java is available (OpenJDK 11+)
java -version

# Verify Python 3.7+
python3 --version

Затем запустите эксплойт из директории poc/:

cd poc/
python3 exploit.py <target_url> <username> <password> <command>

Перед выполнением скрипт проверяет, что clojure-1.12.3.jar и VarChainPayload.class существуют в рабочей директории.

---

Использование

python3 exploit.py <target_url> <username> <password> <command>

Аргументы

Аргумент	Описание	Пример
target_url	URL экземпляра Metabase	http://127.0.0.1:3000
username	Аутентифицированный пользователь (администратор или имеющий доступ к нативным запросам)	[email protected]
password	Пароль пользователя	SecurePassword123!
command	Команда оболочки для выполнения	id или whoami

Пример

python3 exploit.py http://127.0.0.1:3000 [email protected] Admin1234! "id > /tmp/pwned.txt"

Команда выполняется в контексте процесса Metabase (обычно это пользователь metabase в Docker).

Технические детали

Тип столбца OTHER в H2 десериализует Java-объекты с помощью голого ObjectInputStream без фильтрации JEP-290. Это позволяет создавать экземпляры произвольных классов.

Полезная нагрузка использует цепочку гаджетов на основе сериализуемых классов Clojure (clojure.core$apply, clojure.lang.Var$Serialized и PersistentList) в сочетании с PriorityQueue из Java для запуска выполнения кода через clojure.core/eval.

Полный технический анализ см. в writeup/analysis.md.

---

Ссылки

• Официальное уведомление: https://github.com/metabase/metabase/security/advisories/GHSA-w95f-x9v9-wv36
• Сведения о CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-59827