Metabase 0.40.x < 0.40.8 / 0.41.x < 0.41.7 / 0.42.x0.42.4 < / 1.40.x < 1.40.8 / 1.41.x < 1.41.7 / 1.42.x 1.42.4

medium Nessus Plugin ID 261764

概要

遠端主機受到一個弱點影響。

說明

遠端主機上安裝的 Metabase 版本比 1.42.4舊。因此會受到多個弱點影響。

- Metabase 有一個代理伺服器可載入 JSON 地圖的任意 URL這是我們 GeoJSON 支援的一部分。雖然我們會進行驗證以確保不會傳回任意 URL 的內容但在某些情況下特製的要求仍可導致 Windows 上的檔案存取進而允許啟用「NTLM 轉送攻擊」進而可能允許攻擊者接收系統密碼雜湊。如果您使用 Windows 和 是在此版本的 Metabase 上請立即升級。

請注意,Nessus 並未測試此問題,而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

升級至 Metabase 1.42.4 版或更新版本。

另請參閱

https://www.qomplx.com/qomplx-knowledge-ntlm-relay-attacks-explained/

https://secure77.de/metabase-ntlm-relay-attack/

http://www.nessus.org/u?311514cb

http://www.nessus.org/u?53974218

Plugin 詳細資訊

嚴重性: Medium

ID: 261764

檔案名稱: metabase_CVE-2022-24853.nasl

版本: 1.1

類型: remote

系列: CGI abuses

已發布: 2025/9/9

已更新: 2025/9/9

支援的感應器: Nessus

風險資訊

VPR

風險因素: Medium

分數: 4.4

CVSS v2

風險因素: Medium

基本分數: 5.4

媒介: CVSS2#AV:N/AC:H/Au:N/C:C/I:N/A:N

CVSS 評分資料來源: CVE-2022-24853

CVSS v3

風險因素: Medium

基本分數: 5.3

媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N

弱點資訊

CPE: cpe:/a:metabase:metabase

必要的 KB 項目: Host/OS, installed_sw/Metabase

修補程式發佈日期: 2022/4/14

弱點發布日期: 2022/4/14

參考資訊

CVE: CVE-2022-24853