CVE-2023-38646 — 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Metabase 存在**远程代码执行 (RCE)** 漏洞。 💥 **后果**：攻击者可直接在服务器上执行**任意命令**，完全接管系统。
Q2根本原因？（CWE/缺陷点）
🔍 **缺陷点**：未明确指定 CWE ID。 🧠 **核心**：身份验证前的输入处理缺陷，允许未授权用户触发后端命令执行。
Q3影响谁？（版本/组件）
📦 **受影响版本**： • **开源版**：0.46 < 0.46.6.1, 0.45 < 0.45.4.1, 0.44 < 0.44.7.1, 0.43 < 0.43.7.2 • **企业版**：1.46 < 1.46.6.1, 1.45 < 1.45.4.1, 1.44 < 1.44.7.1, 1.43 < 1.43.7.2
Q4黑客能干啥？（权限/数据）
👑 **权限**：以**运行该服务的权限**执行命令。 📂 **数据**：可窃取所有数据库连接信息、查询结果及服务器敏感文件。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛**：**极低**！ 🔓 **无需认证**：Pre-auth（身份验证前）即可利用，任何访问者均可攻击。
Q6有现成Exp吗？（PoC/在野利用）
💣 **Exp 现状**：**已有现成 PoC**。 🔗 GitHub 上多个仓库（如 0xrobiul, Chocapikk 等）提供自动化脚本，在野利用风险高。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**： 1. 检查 Metabase 版本号是否在上述受影响列表中。 2. 使用提供的 Python PoC 脚本进行扫描测试。 3. 监控异常的系统进程或网络连接。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：**已发布补丁**。 📌 **修复版本**：开源版 0.46.6.1+，企业版 1.46.6.1+。请立即升级！ 🔗 参考：Metabase 官方博客及安全公告。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**： • 若无法立即升级，建议**限制访问权限**（如仅内网/特定 IP 访问）。 • 部署 WAF 拦截可疑请求。 • 关闭不必要的端口暴露。
Q10急不急？（优先级建议）
🚀 **优先级**：**紧急 (CVSS 9.8)**。 🔥 **建议**：这是**高危 RCE** 且**无需认证**，建议**立即**升级至安全版本或采取网络隔离措施。