Metabase: Beliebiges Lesen und Schreiben von Dateien über unsichere H2-Funktionen

Zusammenfassung

Metabase-Versionen ab 1.55.0 bis zu den korrigierten Builds leiten native Abfragen und Aktionen gegen H2-Datenquellen weiter, ohne Built-in-Funktionen wie FILE_READ, FILE_WRITE, CSVREAD, CSVWRITE und LINK_SCHEMA einzuschränken. Ein Benutzer, der native Abfragen oder Aktionen ausführen darf, kann diese Funktionen nutzen, um beliebige Dateien auf dem Metabase-Server zu lesen oder zu schreiben oder andere Datenbanken zu verknüpfen. Die Beispieldatenbank verwendet H2, daher ist die verwundbare Funktionalität in Standardinstallationen vorhanden. Die CNA bewertet die Schwachstelle mit 9.3 (CVSS 4.0, Critical), während der NVD-Eintrag zum Zeitpunkt der Prüfung noch auf Analyse wartete.

Betroffen

• Metabase 1.55.0 bis 1.58.16
• Metabase 1.59.0 bis 1.59.13
• Metabase 1.60.0 bis 1.60.9
• Metabase 1.61.0 bis 1.61.4
• Open-Source-Versionen (0.x) gemäss CNA: 0.55.0 bis 0.58.15.3, 0.59.0 bis 0.59.12.1, 0.60.0 bis 0.60.8.1, 0.61.0 bis 0.61.3.4

Behoben in

• 1.58.16
• 1.59.13
• 1.60.9
• 1.61.4
• Open-Source-Tags v0.58.15.3, v0.59.12.1, v0.60.8.1 und v0.61.3.4 (die Zuordnung zwischen 1.x- und 0.x-Nummerierung sollte in den Versionshinweisen des Herstellers bestätigt werden)

Umgehung

Unbekannt. Es wurde kein herstellerseitiger Workaround für diese CVE gefunden. Das Einspielen des Patches ist die Massnahme.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn für diese CVE gefunden.
• Es wurde kein öffentlich verfügbarer Proof-of-Concept-Exploit für diese CVE gefunden.
• CISA-SSVC-Bewertung: Ausnutzung none, automatisierbar ja, technische Auswirkung total.
• Andere Metabase-CVEs (andere Probleme) wurden ausgenutzt oder haben öffentliche Exploits, was zeigt, dass Angreifer Metabase gezielt angreifen.

Unsere Empfehlung

• Prüfen Sie jetzt die Metabase-Version jeder Instanz und identifizieren Sie selbst betriebene Installationen.
• Aktualisieren Sie so bald wie möglich auf den korrigierten Build Ihres Release-Zweigs; priorisieren Sie aus dem Internet erreichbare und Mehrbenutzer-Instanzen.
• Prüfen Sie, welche Benutzer Berechtigungen für native Abfragen und Aktionen besitzen, und entziehen Sie diese, wo sie nicht benötigt werden.
• Prüfen Sie, ob H2-Datenquellen, einschliesslich der Beispieldatenbank, angebunden sind und ob sie von nicht vertrauenswürdigen Benutzern erreicht werden können.
• Überwachen Sie den Server auf unerwarteten Dateizugriff oder neue Datenbankverknüpfungen.
• Bestätigen Sie die korrigierte Version in der Herstellerwarnung, bevor Sie das Änderungsticket schliessen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-cwxq-fmxq-jv8h github.com
• OSV entry CVE-2026-103928 osv.dev
• Metabase commit 8fb4f0c (H2 function restrictions) github.com
• Metabase commit a943448 (H2 function restrictions) github.com
• Metabase release v0.58.15.3 github.com
• Metabase release v0.61.3.4 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:20.