CVE:CVE-2022-24853
CNNVD:CNNVD-202204-3439
Metabase是美国Metabase公司的一个开源数据分析平台。
Metabase 存在信息泄露漏洞，该漏洞源于有一个代理，用于加载 JSON 映射的任意 URL，作为我们 GeoJSON 支持的一部分。虽然我们进行验证以不返回任意 URL 的内容，但在某些情况下，精心设计的请求可能导致对 Windows 的文件访问，从而允许启用 NTLM 中继攻击，从而可能允许攻击者接收密码哈希。以下产品和版本受到影响：x.42 - x.42.3、x.41 - x.41.6、 x.40 - x.40.7。
solution:Upgrade metabase metabase to a higher version than 0.40.8,0.41.7,0.42.4,1.40.8,1.41.7,1.42.4,and avoid the version [0.40.0,0.40.8),[0.41.0,0.41.7),[0.42.0,0.42.4),[1.40.0,1.40.8),[1.41.0,1.41.7),[1.42.0,1.42.4)