CVE-2021-41277
Metabase GeoJSON API Local File Inclusion Vulnerability
Beschreibung
CVE-2021-41277 ist eine kritische Local-File-Inclusion-Schwachstelle in der Open-Source-Datenanalyseplattform Metabase, die in den Versionen 0.40.0 bis 0.40.4 und 1.40.0 bis 1.40.4 auftritt. Die Schwachstelle befindet sich in der GeoJSON-Map-Funktion (admin->settings->maps->custom maps) und ermoeglicht einem unauthentifizierten Angreifer das Einlesen lokaler Dateien einschliesslich Umgebungsvariablen, da URLs vor dem Laden nicht validiert werden. Mit dem hoechstmoeglichen CVSS-Score von 10.0 (CRITICAL) und einem Scope-Wechsel stellt diese Schwachstelle eine maximale Bedrohung dar.
Die CISA hat CVE-2021-41277 in den KEV-Katalog aufgenommen mit einer Behebungsfrist bis zum 2024-12-03. Der EPSS-Score von 94,35 % (100,0. Perzentil) ist der hoechstmoegliche Wert und zeigt grossflaechige, aktive Ausnutzung an. Metabase wird weltweit als Business-Intelligence-Tool eingesetzt und hat Zugriff auf Unternehmensdatenbanken.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:LIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| metabase | metabase | 0.40.0; 0.40.1; 0.40.2; 0.40.3; 0.40.4; 1.40.0; 1.40.1; 1.40.2; 1.40.3; 1.40.4 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:L
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
- https://github.com/metabase/metabase/commit/042a36e49574c749f944e19cf80360fd3dc322f0(Patch)
- https://github.com/metabase/metabase/security/advisories/GHSA-w73v-6p7p-fpfr(Mitigation, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-41277(US Government Resource)
Schwachstellentyp
Local File Inclusion (LFI) durch fehlende URL-Validierung
CVE-2021-41277 basiert auf einer fehlenden Validierung von URLs in der GeoJSON-Custom-Maps-Funktion von Metabase. Die Anwendung laedt Ressourcen anhand der uebergebenen URL, prueft jedoch nicht, ob es sich um eine lokale Dateipfad-Referenz (file://) oder eine andere kritische Ressource handelt. Dies ermoeglicht das Einlesen beliebiger lokaler Dateien. Diese Schwachstellenklasse faellt unter CWE-22 (Improper Limitation of a Pathname to a Restricted Directory) in Verbindung mit Server-Side Request Forgery.
Local File Inclusion in einer Datenanalyseplattform ist besonders kritisch, da Umgebungsvariablen haeufig Datenbank-Zugangsdaten, API-Keys und andere sensible Konfigurationen enthalten.
Weitere Informationen: CWE-22 -- Improper Limitation of a Pathname to a Restricted Directory
Auswirkungsanalyse
Die Auswirkungen von CVE-2021-41277 sind durch den maximalen CVSS-Score und den Scope-Wechsel katastrophal. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:L beschreibt nahezu maximale Bedrohung. Vertraulichkeit (Hoch) -- ein Angreifer kann beliebige lokale Dateien lesen, einschliesslich /etc/passwd, Umgebungsvariablen mit Datenbank-Zugangsdaten, API-Keys, geheimen Schluesseln und der Metabase-Konfiguration. Da Metabase direkten Zugang zu Unternehmensdatenbanken hat, koennen die erbeuteten Zugangsdaten den Zugriff auf die gesamte Dateninfrastruktur ermoeglichen. Integritaet (Hoch) -- mit den exfiltrierten Zugangsdaten kann ein Angreifer Datenbankinhalte manipulieren, Metabase-Konfigurationen aendern und weitere Systeme kompromittieren. Verfuegbarkeit (Niedrig) -- begrenzte Auswirkung auf die Systemverfuegbarkeit. Der EPSS-Score von 94,35 % (100,0. Perzentil) ist der maximale Wert. Der Ransomware-Status ist als Unknown gekennzeichnet.
Exploit-Reifegrad
CVE-2021-41277 weist die hoechstmoegliche Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2024-12-03 in den KEV-Katalog aufgenommen. Der EPSS-Score von 94,35 % (100,0. Perzentil) ist der maximale Wert und zeigt grossflaechige, aktive Ausnutzung an. Der Ransomware-Status ist als Unknown klassifiziert. Das GitHub Security Advisory GHSA-w73v-6p7p-fpfr dokumentiert die Schwachstelle detailliert und stellt Mitigationsmassnahmen bereit. Der zugehoerige Patch-Commit ist oeffentlich einsehbar, was die Entwicklung von Exploits weiter erleichtert. Die Schwachstelle ist seit 2021 bekannt und wird seither aktiv ausgenutzt.
Behebung
-
Metabase umgehend aktualisieren: Aktualisieren Sie auf Metabase Version 0.40.5, 1.40.5 oder hoeher. Konsultieren Sie das GitHub Security Advisory fuer die exakten gepatchten Versionen und Upgrade-Anweisungen.
-
GeoJSON-Custom-Maps deaktivieren: Als Sofortmassnahme deaktivieren Sie die Custom-Maps-Funktion in den Metabase-Einstellungen (admin->settings->maps->custom maps), bis das Update installiert ist.
-
Netzwerkzugang zu Metabase einschraenken: Stellen Sie sicher, dass Metabase nicht ueber das Internet erreichbar ist. Implementieren Sie VPN-Zugang oder IP-basierte Zugriffsbeschraenkungen fuer die Metabase-Instanz.
-
Zugangsdaten rotieren: Da Umgebungsvariablen mit Datenbank-Zugangsdaten moeglicherweise exfiltriert wurden, rotieren Sie alle in der Metabase-Konfiguration gespeicherten Datenbank-Passwoerter, API-Keys und geheimen Schluessel. Ueberpruefen Sie, ob die betroffenen Zugangsdaten auch in anderen Systemen verwendet werden.
-
Forensische Untersuchung durchfuehren: Ueberpruefen Sie die Metabase-Zugriffslogs auf verdaechtige GeoJSON-Anfragen mit lokalen Dateipfaden (file://, /etc/, /proc/ etc.). Pruefen Sie die verbundenen Datenbanken auf unautorisierte Zugriffe und Datenexfiltration.
Technische Details
CVE-2021-41277 betrifft Metabase in den Versionen 0.40.0 bis 0.40.4 und 1.40.0 bis 1.40.4. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:L beschreibt nahezu maximale Bedrohung mit Scope-Wechsel. Angriffsvektor (Netzwerk): Die Schwachstelle ist ueber HTTP erreichbar. Angriffskomplexitaet (Niedrig): Keine besonderen Bedingungen erforderlich. Berechtigungen (Keine): Keine Authentifizierung erforderlich. Benutzerinteraktion (Keine): Vollstaendig automatisierbar. Scope (Changed): Die Kompromittierung von Metabase ermoeglicht Zugriff auf verbundene Datenbanken und andere Systeme. Der Angriffsmechanismus nutzt die GeoJSON-Custom-Maps-Funktion in Metabase. Die Funktion akzeptiert eine URL, von der GeoJSON-Daten geladen werden sollen. Da die uebergebene URL vor dem Laden nicht validiert wird, kann ein Angreifer statt einer HTTP-URL einen lokalen Dateipfad angeben (z.B. file:///etc/passwd oder file:///proc/self/environ). Die Antwort enthaelt dann den Inhalt der angeforderten lokalen Datei. Besonders kritisch ist der Zugriff auf /proc/self/environ, da diese Datei saemtliche Umgebungsvariablen des Metabase-Prozesses enthaelt, einschliesslich Datenbank-Zugangsdaten.
Häufig gestellte Fragen
Wird CVE-2021-41277 fuer Ransomware-Angriffe genutzt?
Der Ransomware-Status ist als Unknown klassifiziert. Die Schwachstelle ermoeglicht jedoch das Auslesen von Datenbank-Zugangsdaten, was als Einstiegspunkt fuer weitergehende Angriffe einschliesslich Ransomware dienen kann. Der maximale EPSS-Score zeigt grossflaechige Ausnutzung an.
Welche Daten koennen durch die Schwachstelle exfiltriert werden?
Ein Angreifer kann beliebige lokale Dateien des Metabase-Servers lesen, einschliesslich Konfigurationsdateien, Umgebungsvariablen mit Datenbank-Zugangsdaten, /etc/passwd und anderen Systemdateien. Die Umgebungsvariablen enthalten typischerweise die Zugangsdaten zu allen verbundenen Datenbanken.
Betrifft die Schwachstelle nur die Custom-Maps-Funktion?
Ja, der verwundbare Endpunkt befindet sich in der GeoJSON-Custom-Maps-Funktion. Die Deaktivierung dieser Funktion ist eine wirksame Sofortmassnahme, bis das Update installiert werden kann. Allerdings sollte trotzdem zeitnah auf eine gepatchte Version aktualisiert werden.
Ist mein System betroffen, wenn Metabase nur intern erreichbar ist?
Wenn Metabase nicht ueber das Internet erreichbar ist, sinkt das Risiko einer externen Ausnutzung erheblich. Da jedoch keine Authentifizierung erforderlich ist, kann jeder Benutzer im internen Netzwerk die Schwachstelle ausnutzen. Ein Update ist daher unabhaengig von der Erreichbarkeit dringend empfohlen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.