CVE-2021-41277: Metabase 任意文件读取漏洞通告-低调大师

CVE-2021-41277: Metabase 任意文件读取漏洞通告

2021-11-23 638

报告编号：B6-2021-112203

报告来源：360CERT

报告作者：360CERT

更新日期：2021-11-22

漏洞简述

2021年11月22日，360CERT监测发现Metabase 任意文件读取漏洞的poc已在互联网公开，漏洞编号为CVE-2021-41277，漏洞等级：严重，漏洞评分：9.9。

Metabase是一个开源的数据分析平台，通过给公司成员提问，从得到的数据中进行分析、学习。

对此，360CERT建议广大用户及时将Metabase升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

风险等级

360CERT 对该漏洞的评定结果如下

评定方式	等级
威胁等级	严重
影响面	广泛
攻击者价值	高
利用难度	低
360CERT评分	9.9

漏洞详情

CVE-2021-41277: Metabase 任意文件读取漏洞

CVE: CVE-2021-41277

组件: Metabase

漏洞类型: 文件读取

影响: 文件读取

简述: 在受影响的版本中，自定义GeoJSON地图(' admin->settings->maps->custom maps->add a map ')存在本地文件包含(包括环境变量)漏洞，url在加载之前没有经过验证，攻击者利用该漏洞能够读取任意文件。

影响版本

组件	影响版本	安全版本
metabase:metabase	>=1.0.0 & <1.40.5	>=1.40.5
metabase:metabase	<0.40.5	>= 0.40.5

修复建议

通用修补

通用修补建议

根据影响版本中的信息，排查并升级到安全版本

下载链接为：https://github.com/metabase/metabase/releases

时间线

2021-10-06 Metabase 官方发布通告

2021-11-22 360CERT 发布通告

参考链接

https://github.com/metabase/metabase/security/advisories/GHSA-w73v-6p7p-fpfr

微信关注我们

原文链接：https://www.oschina.net/news/170338

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

胜软科技加入 openGauss 社区

山东胜软科技股份有限公司（以下简称胜软科技）签署CLA(Contribution License Agreement, 贡献许可协议），正式加入openGauss 社区。山东胜软科技股份有限公司专注能源信息化领域，在智能油田、智慧城市、电子政务和云计算等领域构筑了端到端的解决方案和产品服务。在油气生产领域打造的PCS（油气生产指挥系统）产品家族，充分利用新技术与油田生产相结合，帮助企业压缩管理层级、降低管理成本。在采油气工程管理板块，形成“技术管理、基础研究、辅助优化”三位一体的采油气工程信息化解决方案和配套软件产品。胜软科技此次加入openGauss社区，将借助产业界和学术界的力量，在openGauss的基础上打造面向油气行业和工业互联网领域的数据湖仓一体的治理产品体系，在发挥openGauss高性能、高安全、高可靠特性的基础上，未来在我们服务的行业内为我们的客户带来更加专业的服务。胜软科技携手openGauss，也将推进油气和工业互联网数据库的生态发展、技术创新。同时，胜软科技未来也将面向油气领域发布基于openGauss的企业级数据库产品和湖仓一体的数据治理产品，推动ope...

2021-11-23

560

云原生一周动态要闻： Istio 1.12 发布 CentOS 替代品 Rocky Linux 8.5 发布 Prometheus 推出 Agent 模式来适应新的使用场景 Linux 基金会与 CNCF 推出新的在线培训课程 Antrea 1.4.0 发布开源项目推荐文章推荐云原生动态 Prometheus 推出 Agent 模式来适应新的使用场景日前，Prometheus 发布了新的操作模式——Prometheus Agent，用来适应新的使用场景。这种新的模式能够实现新的工作流程，如低资源环境、边缘网络和物联网。它使用的资源明显减少，能够有效地将数据转发到集中的远程终端，同时使用数百万 Prometheus 用户所依赖的稳定代码库。 Prometheus Agent 是一种专门的模式，它专注于三个部分：服务发现、抓取和远程写入。Prometheus Agent 内置于 Prometheus 中，其行为类似于普通的 Prometheus Server：它是一种基于拉取的机制，通过 HTTP 抓取指标并将数据复制到远程写入端点上。 Prometheus Agent 现已推出测...

2021-11-23

547

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。