Metabase は、EE シリアル化インポートの H2 JDBC INIT インジェクションを介して RCE および任意のファイル読み取りに対して脆弱

CVE-2026-33725 は、Metabase Enterprise の 1.54.22、1.55.22、1.56.22、1.57.16、1.58.10、および 1.59.4 以前のバージョンに影響します。この脆弱性により、Enterprise エディションの認証済み管理者は、/api/ee/serialization/import エンドポイントを通じて Remote Code Execution (RCE) と任意のファイル読み込みを実行できます。攻撃は、H2 JDBC スペックに INIT プロパティを注入することで実行されます。この注入により、データベース同期中に任意の SQL コードが実行され、データの整合性と機密性が損なわれる可能性があります。この脆弱性の CVSS スコアは 7.2 であり、重大なリスクを示しています。

Organizations utilizing Metabase Enterprise for business intelligence and analytics are at risk. Specifically, deployments with lax access controls for administrator accounts or those relying on legacy configurations without robust input validation are particularly vulnerable. Shared hosting environments running Metabase Enterprise also present a heightened risk due to potential cross-tenant exploitation.

• linux / server: Monitor Metabase logs for unusual database sync activity or SQL execution attempts. Use journalctl -u metabase to filter for relevant log entries.

journalctl -u metabase | grep "INIT property" 

• java: Examine Metabase's internal database logs (H2) for suspicious SQL queries originating from serialization imports. • generic web: Monitor access logs for requests to /api/ee/serialization/import with unusual or large POST data payloads.

grep -i "/api/ee/serialization/import" access.log

1. 2026-03-27Disclosure

   disclosure

2. 2026-03-27Patch

   patch

1. 予約済み2026-03-23
2. 公開日2026-03-27
3. 更新日2026-03-28
4. EPSS 更新日2026-04-03

推奨される解決策は、Metabase Enterprise をバージョン 1.59.4 以降にアップグレードすることです。このバージョンには、この脆弱性に対する修正が含まれています。直ちにアップグレードできない場合は、/api/ee/serialization/import エンドポイントへのアクセスを信頼できるユーザーに制限し、システムログを積極的に監視して疑わしいアクティビティがないか確認してください。また、管理者がタスクを実行するために必要な権限のみを持つように、最小権限の原則を実装することが重要です。これらの軽減策を適用することで、アップグレードが実行されるまで、脆弱性の悪用リスクを軽減できます。