Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-200

CVE-2021-41277

Metabase özel GeoJSON harita URL doğrulama eksikliği: dosya ve ortam değişkeni sızıntısı

Metabase

Kritik 10,0 CVSS 3.1
Yayımlandı
Güncellendi
7 Eki 2026
Açık yaşı
1805 gün
Kaydı açan
GitHub_M
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 12 Kas 2024 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 Ara 2024.

Yönetici özeti

Metabase'in eski sürümlerinde saldırganlar sunucudaki hassas dosyalara ve gizli yapılandırma bilgilerine erişebilir. Açığın aktif olarak istismar edildiği bilinmektedir, bu nedenle güncelleme acil olarak yapılmalıdır. Güncelleme hemen mümkün değilse geçici koruma önlemleri uygulanmalıdır.

ÖzetTürkçe

Metabase'in özel GeoJSON harita özelliğinde (yönetici ayarlarındaki özel haritalar bölümü) URL'ler yüklenmeden önce doğrulanmamaktadır. Bu durum yerel dosya dahil etme (local file inclusion) yoluyla sunucudaki dosyaların ve ortam değişkenlerinin okunmasına yol açabilir. 0.40.5 öncesi sürümler etkilenmektedir; sorun 0.40.5 ve 1.40.5 bakım sürümlerinde giderilmiştir. Açık, CISA tarafından bilinen ve istismar edilen güvenlik açıkları (KEV) listesine eklenmiştir.

Saldırgan ne yapabilir?

Saldırgan, sunucudaki dosyaları ve ortam değişkenlerini (parola, anahtar gibi gizli bilgiler içerebilir) okuyabilir. CVSS vektörüne göre kimlik doğrulaması gerekmeden ağ üzerinden istismar edilebilir ve etkisi çok yüksek olarak değerlendirilmiştir.

Kaynaktaki açıklama (İngilizce)

Metabase is an open source data analytics platform. In affected versions a security issue has been discovered with the custom GeoJSON map (admin->settings->maps->custom maps->add a map) support and potential local file inclusion (including environment variables). URLs were not validated prior to being loaded. This issue is fixed in a new maintenance release (0.40.5 and 1.40.5), and any subsequent release after that. If you’re unable to upgrade immediately, you can mitigate this by including rules in your reverse proxy or load balancer or WAF to provide a validation filter before the application.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. Metabase'i 0.40.5 (açık kaynak) veya 1.40.5 (Enterprise) sürümüne ya da bunlardan sonraki bir sürüme yükseltin. Üretici
  2. Hemen yükseltme yapamıyorsanız uygulamanın önüne yerleştirdiğiniz ters vekil sunucu (reverse proxy), yük dengeleyici veya WAF üzerinde, özel harita URL'lerini doğrulayan filtre kuralları tanımlayın. Üretici
  3. Satıcı talimatlarına göre önlemleri uygulayın; önlemler mümkün değilse ürünün kullanımını durdurun. CISA
  4. Sunucu ortam değişkenlerinde veya dosyalarında saklanan parola, API anahtarı ve benzeri gizli bilgilerin açığa çıkmış olabileceğini varsayarak bunları yenileyin. Genel öneri

Ek önlemler

  • Metabase yönetim arayüzünü ve uygulamayı internete doğrudan açmayın; VPN veya IP kısıtlaması ile erişimi sınırlandırın. Genel öneri
  • Erişim günlüklerinde özel harita ekleme isteklerini ve olağan dışı URL'leri (örneğin yerel dosya yolları) inceleyin. Genel öneri
  • Metabase'i en az ayrıcalıkla çalışan bir kullanıcı veya konteyner içinde çalıştırın ve ortamda gereksiz gizli bilgi tutmayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Metabase < 0.40.5 0.40.5

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.