SecBoard
Zurück zur CVE-Übersicht

CVE-2021-41277

CRITICAL(10.0)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:L

Risk Signal Score84/100 — KRITISCH
  • CVSS 10 — Kritisch
  • EPSS 97% — sehr wahrscheinlich ausgenutzt
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

97.2%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

10

Technische Schwere

SecBoard-Einordnung

Die Schwachstelle CVE-2021-41277 in Metabase betrifft die Funktion für benutzerdefinierte GeoJSON-Karten. Eine fehlende Validierung von URLs ermöglicht eine lokale Dateieinbindung, die zum Auslesen von Umgebungsvariablen oder anderen lokalen Dateien führen kann. Dies stellt ein erhebliches Sicherheitsrisiko dar. Mit einem CVSS-Score von 10.0 (kritisch) und einer EPSS-Wahrscheinlichkeit von 97% für die Ausnutzung ist diese Schwachstelle äußerst kritisch. Die Aufnahme in den KEV-Katalog bestätigt, dass sie aktiv ausgenutzt wird, was eine sofortige Reaktion erfordert. Security-Teams sollten umgehend auf die Versionen 0.40.5, 1.40.5 oder höher aktualisieren, um diese Schwachstelle zu beheben. Falls ein sofortiges Update nicht möglich ist, kann die Gefahr durch die Implementierung von Validierungsfiltern in Reverse Proxys, Load Balancern oder WAFs vor der Metabase-Anwendung gemindert werden. Eine Priorisierung dieser Maßnahme ist aufgrund der aktiven Ausnutzung unerlässlich.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

Metabase is an open source data analytics platform. In affected versions a security issue has been discovered with the custom GeoJSON map (`admin->settings->maps->custom maps->add a map`) support and potential local file inclusion (including environment variables). URLs were not validated prior to being loaded. This issue is fixed in a new maintenance release (0.40.5 and 1.40.5), and any subsequent release after that. If you’re unable to upgrade immediately, you can mitigate this by including rules in your reverse proxy or load balancer or WAF to provide a validation filter before the application.

Betroffene Produkte

  • cpe:2.3:a:metabase:metabase:0.40.0:-:*:*:-:*:*:*
  • cpe:2.3:a:metabase:metabase:0.40.1:*:*:*:-:*:*:*
  • cpe:2.3:a:metabase:metabase:0.40.2:*:*:*:-:*:*:*
  • cpe:2.3:a:metabase:metabase:0.40.3:*:*:*:-:*:*:*
  • cpe:2.3:a:metabase:metabase:0.40.4:*:*:*:-:*:*:*
  • cpe:2.3:a:metabase:metabase:1.40.0:-:*:*:enterprise:*:*:*
  • cpe:2.3:a:metabase:metabase:1.40.1:*:*:*:enterprise:*:*:*
  • cpe:2.3:a:metabase:metabase:1.40.2:*:*:*:enterprise:*:*:*
  • cpe:2.3:a:metabase:metabase:1.40.3:*:*:*:enterprise:*:*:*
  • cpe:2.3:a:metabase:metabase:1.40.4:*:*:*:enterprise:*:*:*

Referenzen