Описание
Уязвимость прикладного программного интерфейса сброса пароля программного средства визуализации данных и создания отчетов Metabase связана с непринятием мер по защите структуры запроса SQL. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный SQL-запрос путем отправки специально сформированного HTTP-запроса
Вендор
Metabase Inc
Наименование ПО
Metabase
Версия ПО
до 0.58.24 (Metabase)
до 0.59.21 (Metabase)
до 0.60.17 (Metabase)
до 0.61.11 (Metabase)
до 0.62.9 (Metabase)
до 0.63.5 (Metabase)
Тип ПО
Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
-
Уровень опасности уязвимости
Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.1 составляет 10)
Возможные меры по устранению уязвимости
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- ограничение возможности получения неавторизованными пользователями доступа к конечным точкам /api/session/reset_password и /api/user/current
- использование средств межсетевого экранирования уровня веб-приложений (WAF) для фильтрации сетевого трафика;
- сегментирование сети для ограничения доступа к уязвимому устройству;
- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;
- ограничение доступа к уязвимому программному обеспечению из внешних сетей (Интернет).
Использование рекомендаций:
https://github.com/metabase/metabase/security/advisories/GHSA-vwf4-m7j8-wcjf
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- GHSA
10 Critical
CVSS3
10 Critical
CVSS2
10 Critical
CVSS3
10 Critical
CVSS2