Trusted DesignCVE-2021-41277 の詳細
CVEの情報
説明:
Metabase is an open source data analytics platform. In affected versions a security issue has been discovered with the custom GeoJSON map (`admin->settings->maps->custom maps->add a map`) support and potential local file inclusion (including environment variables). URLs were not validated prior to being loaded. This issue is fixed in a new maintenance release (0.40.5 and 1.40.5), and any subsequent release after that. If you’re unable to upgrade immediately, you can mitigate this by including rules in your reverse proxy or load balancer or WAF to provide a validation filter before the application.
CVE更新日: 2021-11-17 20:15:10.587000
CVSSバージョン: 3.1
CVSSスコア: 10.0
KEVの情報
KEV更新日: 2024-11-12
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.971780000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2021-41277は、オープンソースのBIおよび分析プラットフォームであるMetabaseに存在する脆弱性です。
1. 脆弱性の概要
1.1 影響
この脆弱性は、認証されていない攻撃者が特別に細工されたHTTP GETリクエストを介して、任意のファイルをダウンロードし（root権限を伴う可能性あり）、環境変数へのアクセスを取得することを可能にするローカルファイルインクルージョン（LFI）の脆弱性です。これにより、機密情報が漏洩する可能性があります。
1.2 深刻度
CVSS v3の基本スコアは7.5（重要）と評価されています。 詳細な評価は以下の通りです: * 攻撃元区分: ネットワーク * 攻撃条件の複雑さ: 低 * 攻撃に必要な特権レベル: 不要 * 利用者の関与: 不要 * 影響の想定範囲: 変更なし * 機密性への影響: 高 * 完全性への影響: なし * 可用性への影響: なし 本脆弱性はCISAのKnown Exploited Vulnerabilities (KEV) カタログにも追加されており、実環境での悪用が確認されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
この脆弱性はMetabase自体に存在するため、特定のOSバージョンではなく、Metabaseの特定のバージョンが影響を受けます。 * Metabaseオープンソース版: v0.40.0からv0.40.4まで * Metabaseエンタープライズ版: v1.40.0からv1.40.4まで * 具体的には、バージョン0.40.5および1.40.5より前のバージョンが影響を受けます。
2.2 影響を受ける設定
この問題は、カスタムGeoJSONマップ機能（
admin->settings->maps->custom maps->add a map）において、URLが読み込み前に検証されていなかったことに起因します。このURL検証の欠如がローカルファイルインクルージョンを引き起こします。3. 影響を受けた時の兆候
明確な兆候は具体的に記載されていませんが、ローカルファイルインクルージョンという性質上、Metabaseサーバーからの異常な外部接続、予期しないファイルアクセスログ、または通常とは異なる場所に機密ファイルがダウンロードされていることが兆候となり得ます。
4. 推奨対策
4.1 本対策
脆弱性を修正するためには、以下のパッチが適用されたバージョンにアップグレードしてください。 * Metabase v0.40.5およびv1.40.5、またはそれ以降のリリース。
4.2 暫定回避策（緩和策）
直ちにアップグレードできない場合、以下の緩和策を実施することでリスクを低減できます。 * リバースプロキシ、ロードバランサー、またはWeb Application Firewall (WAF) にルールを追加し、アプリケーションの前に検証フィルターを提供します。 * Symantec Data Center Security (DCS) を使用してMetabaseアプリケーションを強化することで、攻撃対象領域と露出を削減できます。
その他解説すべき観点
参照したサイト