Metabase của metabase: bypass kiểm tra URL GeoJSON tùy chỉnh dẫn đến SSRF

Metabase đến và bao gồm 0.63.18 không xác thực đúng địa chỉ không xác định 0.0.0.0 trong các URL GeoJSON tùy chỉnh, cho phép kẻ tấn công không xác thực truy cập các dịch vụ loopback. Kẻ tấn công có thể lưu một mục GeoJSON độc hại với 0.0.0.0 và kích hoạt các request trả về phản hồi của dịch vụ loopback cho các caller không xác thực.

• metabase Metabase: trạng thái mặc định là không bị ảnh hưởng, nhưng phiên bản từ 0 đến và bao gồm 0.63.18 được đánh dấu là bị ảnh hưởng theo semantic versioning.
• Hồ sơ không cung cấp nhánh song song nào khác hoặc release cố định cụ thể.
• Trường patch_available cho biết đã có bản vá, nhưng chưa có evidence đủ để nêu chính xác release đã sửa.
• Không được suy luận rằng mọi phiên bản sau ranh giới bị ảnh hưởng đều an toàn nếu chưa xác minh riêng từng nhánh.

Lỗi nằm trong luồng tải custom GeoJSON của Metabase. Thành phần non-link-local-dns-resolver chỉ kiểm tra địa chỉ link-local, trong khi url->geojson thực hiện HTTP request tới URL được cấu hình; do đó địa chỉ không xác định 0.0.0.0 có thể vượt qua kiểm tra hiện có. Theo phân tích kỹ thuật, trên Linux kết nối tới 0.0.0.0 có thể được chuyển tới loopback interface, khiến request từ máy chủ Metabase tiếp cận dịch vụ cục bộ. Endpoint GET /api/geojson/:key dùng read-url-and-respond để đọc và trả nội dung của URL đã lưu, nên nội dung phản hồi từ dịch vụ loopback có thể được chuyển tới caller không xác thực. Luồng khai thác cần một tài khoản có quyền lưu custom GeoJSON entry, nhưng bước kích hoạt request có thể do caller không xác thực thực hiện. Evidence hiện có chưa xác định đầy đủ mô hình phân quyền của mọi đường dẫn ghi cấu hình hoặc mọi deployment tùy biến.

• Lỗi có thể bị tiếp cận qua mạng thông qua chức năng custom GeoJSON URL.
• Kẻ tấn công cần quyền cao hoặc quyền tương đương để lưu một entry độc hại, vì vậy toàn bộ chuỗi khai thác không phải là anonymous end-to-end.
• Sau khi entry đã được lưu, request kích hoạt việc Metabase truy cập URL có thể được gửi bởi caller không xác thực.
• Phân tích công khai mô tả khả năng dùng 0.0.0.0 để tiếp cận loopback service và trả phản hồi về caller; tài liệu tái hiện công khai đã tồn tại.
• Hồ sơ được cung cấp không xác định liệu lỗ hổng đã bị khai thác trong thực tế hay chưa.

Kết quả kỹ thuật là Metabase có thể phát sinh request từ máy chủ tới một dịch vụ loopback và chuyển nội dung phản hồi ra ngoài qua API GeoJSON. Điều này có thể làm lộ thông tin thuộc phạm vi mà máy chủ Metabase có thể truy cập, nhưng mức độ lộ dữ liệu phụ thuộc vào dịch vụ nội bộ thực tế và network namespace của deployment.

Kẻ tấn công cần quyền cao để tạo hoặc thay đổi entry độc hại, trong khi bước đọc phản hồi có thể không yêu cầu xác thực. Hồ sơ không thiết lập khả năng ghi dữ liệu, thực thi mã hoặc làm gián đoạn dịch vụ; các tác động được xác nhận tập trung vào confidentiality.

Lỗ hổng có thể làm lộ dữ liệu mà các dịch vụ chỉ mở trên loopback interface trả về cho máy chủ Metabase. Nếu các dịch vụ nội bộ trả về thông tin nhạy cảm, thông tin xác thực hoặc dữ liệu quản trị, việc chuyển tiếp phản hồi cho caller có thể tạo ra rủi ro rò rỉ bí mật hoặc mở rộng khả năng trinh sát nội bộ; đây là hậu quả có thể xảy ra, không phải tài sản cụ thể đã được hồ sơ xác nhận.

Tác động vận hành phụ thuộc vào các dịch vụ đang lắng nghe trên máy chủ hoặc network namespace của Metabase và quyền truy cập của tiến trình Metabase. Hồ sơ mô tả tác động chính là mất tính bí mật; không thiết lập tác động thay đổi dữ liệu hoặc làm gián đoạn dịch vụ.

1. Ưu tiên áp dụng bản vá của metabase cho đúng nhánh đang triển khai. Hồ sơ xác nhận có bản vá nhưng không nêu release cố định, vì vậy cần lấy release sửa lỗi trực tiếp từ advisory hoặc quy trình phát hành của nhà cung cấp trước khi nâng cấp.
2. Trong thời gian chưa nâng cấp, rà soát và xóa các custom GeoJSON entry không cần thiết, đặc biệt entry trỏ tới 0.0.0.0, loopback hoặc mạng nội bộ. Đây là biện pháp containment, không thay thế bản vá.
3. Nếu chức năng nghiệp vụ cho phép, tạm thời vô hiệu hóa custom GeoJSON URL retrieval hoặc giới hạn egress của Metabase để không truy cập loopback và các vùng mạng nội bộ không cần thiết.
4. Kiểm tra các thay đổi cấu hình do tài khoản có quyền cao thực hiện và đánh giá phản hồi GeoJSON đã được trả cho caller không xác thực. Nếu phát hiện truy cập đáng ngờ, xử lý các bí mật hoặc thông tin phiên có thể đã xuất hiện trong phản hồi theo quy trình ứng phó sự cố.
5. Sau khi nâng cấp, xác nhận bằng inventory và kiểm thử phòng thủ rằng URL chứa địa chỉ unspecified không còn được chấp nhận, đồng thời kiểm tra lại mọi nhánh phát hành đang sử dụng.

1. Kiểm kê tất cả instance Metabase và đối chiếu phiên bản với phạm vi bị ảnh hưởng trong hồ sơ.
2. Kiểm tra cấu hình custom GeoJSON, đặc biệt các giá trị URL chứa 0.0.0.0, địa chỉ loopback hoặc đích nội bộ bất thường.
3. Rà soát việc truy cập GET /api/geojson/:key và các thay đổi đối với custom GeoJSON settings; nếu hệ thống có audit log, đối chiếu người thực hiện thay đổi với thời điểm request.
4. Theo dõi kết nối outbound do tiến trình Metabase tạo tới loopback interface hoặc các cổng nội bộ không phù hợp với thiết kế. Đây là biện pháp giám sát phòng ngừa, không phải indicator được xác nhận riêng cho CVE này.
5. Không xem việc không có log phù hợp là bằng chứng instance an toàn; cần kết hợp kiểm tra cấu hình, phiên bản và lưu lượng mạng.