一、漏洞详情

Metabase是一个数据开源分析和可视化工具，它可以帮助用户连接到各种数据源，包括数据库、云服务和API，然后使用直观的界面进行数据查询、分析和可视化。

近日，监测到Metabase中修复了一个远程代码执行漏洞（CVE-2023-37470）。Metabase中支持嵌入式内存数据库H2，由于连接数据库时过滤不严，可通过H2 JDBC连接导致命令执行，成功利用该漏洞可在Metabase服务器上远程执行代码。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

Metabase Open Source < v0.46.6.4

Metabase Enterprise < v1.46.6.4

Metabase Open Source < v0.45.4.3

Metabase Enterprise < v1.45.4.3

Metabase Open Source < v0.44.7.3

Metabase Enterprise < v1.44.7.3

Metabase Open Source < v0.43.7.3

Metabase Enterprise < v1.43.7.3

三、修复建议

目前该漏洞已经修复，受影响用户可升级到以下版本：

Metabase Open Source >= v0.46.6.4

Metabase Enterprise >= v1.46.6.4

Metabase Open Source >= v0.45.4.3

Metabase Enterprise >= v1.45.4.3

Metabase Open Source >= v0.44.7.3

Metabase Enterprise >= v1.44.7.3

Metabase Open Source >= v0.43.7.3

Metabase Enterprise >= v1.43.7.3