„Metabase BI“ programinėje įrangoje aptiktas kritinis saugos pažeidžiamumas ragina vartotojus kuo greičiau atnaujinti
„Metabase“, plačiai naudojama verslo žvalgybos ir duomenų vizualizavimo programinė įranga, neseniai atskleidė kritinį saugos pažeidžiamumą, keliantį didelę vartotojo riziką. Defektas buvo klasifikuojamas kaip „itin rimtas“ ir gali sukelti iš anksto autentifikuotą nuotolinio kodo vykdymą paveiktose sistemose. Pažeidžiamumas stebimas kaip CVE-2023-38646 ir paveikia atvirojo kodo „Metabase“ leidimus iki 0.46.6.1 ir „Metabase Enterprise“ versijas iki 1.46.6.1. Siekiant sumažinti galimą riziką, susijusią su šia saugos problema, visi vartotojai turi atnaujinti į naujausią metabazės versiją.
Neseniai paskelbtamepatarime „Metabase“ atskleidė kritinį saugumo trūkumą, leidžiantį užpuolikui vykdyti savavališkas komandas „Metabase“ serveryje be autentifikavimo ir gauti neteisėtą prieigą su tomis pačiomis privilegijomis. Nepaisant aktyvaus išnaudojimo įrodymų, nerimą keliantys „Shadowserver Foundation“ duomenys rodo, kad 2023 m. liepos 26 d. 5 488 iš 6 936 metabazės atvejų yra pažeidžiami. Šie atvejai paplitę JAV, Indijoje, Vokietijoje, Prancūzijoje, Jungtinėje Karalystėje, Brazilijoje. , ir Australija. Vartotojai turi skubiai išspręsti šią problemą atnaujindami į naujausias versijas, kad apsaugotų savo sistemas nuo galimos rizikos ir neteisėtos prieigos prie jautrių duomenų.
Kompanija „Assetnote“, kuri randa ir praneša apie programinės įrangos klaidas, rado problemą „Metabase“ ir pranešė apie tai. Problema susijusi su tuo, kaip programinė įranga prisijungia prie duomenų bazės, ir tai paveikia konkrečią programinės įrangos dalį, vadinamą „/API/setup/validates“. Blogi veikėjai galėtų pasinaudoti šia silpnybe, naudodami specialiai sukurtą užklausą, kuri apgaudinėja programinės įrangos duomenų bazės tvarkyklę, vadinamą H2, leisti neteisėtai prieiti. Tai galėtų suteikti jiems galimybę valdyti sistemą ir nuotoliniu būdu vykdyti komandas.
Vartotojams, kurie negali iš karto klijuoti pleistrų, labai svarbu imtis papildomų apsaugos priemonių. Norint apsaugoti sistemą, labai patartina blokuoti visas užklausas į pažeidžiamą „/API/setup“ galutinį tašką. Be to, geriau atskirti paveiktą metabazės egzempliorių nuo pirmaujančio gamybos tinklo, kad apribotumėte jo poveikį. Taip elgiantis potencialiems užpuolikams bus sunkiau pasiekti pažeidžiamą galutinį tašką. Be to, būtina akylai stebėti, ar nėra įtartinų užklausų, susijusių su nustatyta pasekme. Tai padės aptikti neteisėtus bandymus išnaudoti pažeidžiamumą ir laiku imtis veiksmų, kad būtų išvengta galimų atakų.
„Metabase BI“ programinėje įrangoje aptiktas kritinis saugos pažeidžiamumas ragina vartotojus kuo greičiau atnaujinti ekrano kopijos
