近日，metabase 爆出敏感信息泄露漏洞，该漏洞 CVSS3 评分高达 9.9。攻击者可在未经身份验证的情况下获取系统敏感信息。

漏洞描述

metabase 是一个简单、开源的数据分析平台。

CVE-2021-41277

在受影响的版本中，自定义 GeoJSON 地图（admin->settings->maps->custom maps->add a map）操作缺少权限验证，攻击者可通过该漏洞获得敏感信息。

该漏洞CVSS评分：9.9，危害等级：严重

CVE 编号

CVE-2021-41277

FOFA 查询

app="metabase"

影响范围

影响版本：

metabase version < 0.40.5
metabase version >= 1.0.0, < 1.40.5

修复版本：

metabase version >= 0.40.5
metabase version >= 1.40.5

根据目前FOFA系统最新数据（一年内数据），显示全球范围内（app="metabase"）共有 9,058 个相关服务对外开放。美国使用数量最多，共有 4,357 个；德国第二，共有 548 个；中国第三，共有 519 个；爱尔兰第四，共有 488 个；新加坡第五，共有 443 个。

全球范围内分布情况如下（仅为分布情况，非漏洞影响情况）

中国大陆地区广东使用数量最多，共有 49 个；北京第二，共有 46 个；浙江第三，共有 41 个；上海第四，共有 33 个；山东第五，共有 14 个。

漏洞复现

修复建议

参考漏洞影响范围，及时升级至最新安全版本：https://github.com/metabase/metabase

参考

[1] https://github.com/metabase/metabase/security/advisories/GHSA-w73v-6p7p-fpfr

[2] https://github.com/metabase/metabase/commit/042a36e49574c749f944e19cf80360fd3dc322f0

[3] https://mp.weixin.qq.com/s/3C8jGMh75ZA7IiSZnjNgWA

白帽汇从事信息安全，专注于安全大数据、企业威胁情报。

公司产品：FOFA-网络空间安全搜索引擎、FOEYE-网络空间检索系统、NOSEC-安全讯息平台。

为您提供：网络空间测绘、企业资产收集、企业威胁情报、应急响应服务。