Metabase の脆弱性（CVE-2021-41277）

何が起きた

データ分析の道具である Metabase の、独自の地図（GeoJSON の地図）を読み込む機能に、ローカルファイルインクルージョンの弱点が見つかりました。読み込む URL を確かめていなかったため、サーバーの中のファイルや環境変数を読まれる可能性があります。NVD の評価では、ログイン不要の攻撃者がネットワーク経由で離れた場所から悪用できます。CISA の KEV に載っており、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Metabase を使っている組織が対象です。Metabase の勧告では、x.40.0 から x.40.4 までの版（0.40.5 と 1.40.5 より前の 40 系）が影響を受けるとされています。一方、CVE の記録では、0.40.5 より前と、1.0.0 以上 1.40.5 より前の版が影響を受けると、より広く書かれています。

何をすればいい

Metabase を 0.40.5 または 1.40.5 以降（41 以降の版も含む）に更新してください。すぐに更新できない場合は、手前に置いたリバースプロキシ、ロードバランサー、WAF にルールを足して、/api/geojson への通信を止める方法が示されており、この入り口を完全に塞ぐことがすすめられています。最新の公式の案内も確認してください。

やることチェックリスト

• Metabase を 0.40.5 か 1.40.5 以降に更新する
• すぐ更新できなければ /api/geojson を止める
• WAF などに通信を確かめるルールを足す

用語メモ

ローカルファイルインクルージョン

サーバーの中にあるファイルを、外から指定して読み込ませてしまう弱点の一種です。

GeoJSON

地図の形や位置を表すためのデータの書き方の一つです。

WAF 用語集で見る

Web サイトへの攻撃の通信を見つけて止める、見張り役の仕組みです。