Metabase vulnerable to RCE and Arbitrary File Read via H2 JDBC INIT Injection in EE Serialization Import

CVE-2026-33725 heeft betrekking op Metabase Enterprise-versies vóór 1.54.22, 1.55.22, 1.56.22, 1.57.16, 1.58.10 en 1.59.4. Deze kwetsbaarheid stelt geauthenticeerde beheerders in de Enterprise Edition in staat om Remote Code Execution (RCE) en Arbitrary File Read te bereiken. De aanval wordt uitgevoerd via de /api/ee/serialization/import endpoint door een INIT-eigenschap in de H2 JDBC-specificatie te injecteren. Deze injectie kan willekeurige SQL-code uitvoeren tijdens een databasesynchronisatie, waardoor de dataintegrititeit en -vertrouwelijkheid in gevaar komen. De CVSS-score voor deze kwetsbaarheid is 7.2, wat een aanzienlijk risico aangeeft.

Organizations utilizing Metabase Enterprise for business intelligence and analytics are at risk. Specifically, deployments with lax access controls for administrator accounts or those relying on legacy configurations without robust input validation are particularly vulnerable. Shared hosting environments running Metabase Enterprise also present a heightened risk due to potential cross-tenant exploitation.

• linux / server: Monitor Metabase logs for unusual database sync activity or SQL execution attempts. Use journalctl -u metabase to filter for relevant log entries.

journalctl -u metabase | grep "INIT property" 

• java: Examine Metabase's internal database logs (H2) for suspicious SQL queries originating from serialization imports. • generic web: Monitor access logs for requests to /api/ee/serialization/import with unusual or large POST data payloads.

grep -i "/api/ee/serialization/import" access.log

1. 2026-03-27Disclosure

   disclosure

2. 2026-03-27Patch

   patch

1. Gereserveerd2026-03-23
2. Gepubliceerd2026-03-27
3. Gewijzigd2026-03-28
4. EPSS bijgewerkt2026-04-03

De aanbevolen oplossing is om Metabase Enterprise te upgraden naar versie 1.59.4 of hoger. Deze versie bevat een correctie voor de kwetsbaarheid. Als een onmiddellijke upgrade niet mogelijk is, beperk dan de toegang tot de /api/ee/serialization/import endpoint tot vertrouwde gebruikers en bewaak de systeemlogboeken actief op verdachte activiteiten. Het is ook essentieel om een policy van minimale privileges te implementeren, zodat beheerders alleen de vereiste rechten hebben om hun taken uit te voeren. Het toepassen van deze mitigerende maatregelen kan helpen het risico op uitbuiting te verminderen totdat de upgrade kan worden uitgevoerd.