原文

Metabaseはオープンソースのビジネスインテリジェンスおよび組み込み分析ツールです。バージョン1.54.0から1.54.24、1.55.24、1.56.25、1.57.19、1.58.14、1.59.10、および1.60.4までの間において、データベース接続の追加または編集権限を持つMetabaseユーザーは、攻撃者が制御するサーバーへのSnowflake接続を設定することで、Metabaseサーバー上でリモートコード実行を達成できます。これは、SnowflakeのJDBCドライバーの脆弱性により、Metabaseホスト上の任意の場所にファイルを書き込め、後にMetabaseプロセス内で実行されるMetabase自身のデータベースドライバーファイルの一つを置き換えられるためです。この問題は、バージョン1.54.24、1.55.24、1.56.25、1.57.19、1.58.14、1.59.10、および1.60.4で修正されています。