Metabase H2 Driver SSRF/RCE Fix via Error Message Improvement and Blocked Functions

脆弱性概要 本修正は、サポートされていないH2関数に対するエラーメッセージの改善に関わるものです。具体的には、ユーザーがサポートされていないH2関数の使用を試みた際、システムがより明確なエラー通知を提供し、ユーザーが問題を理解して解決するのを支援します。 影響範囲 対象バージョン：Metabase v0.61.21 影響機能：H2データベースドライバにおける関数のサポート 影響ユーザー：Metabaseを使用し、H2データベースに依存しているすべてのユーザー 修正内容 1. エラーメッセージの改善： - ファイル内で、サポートされていないH2関数に対するエラーメッセージの処理が追加されました。 - 具体的な実装内容は以下の通りです： - サポートされていないH2関数の一覧を定義するプライベート関数 を作成しました。 - クエリ解析プロセス中に、クエリにこれらのサポートされていない関数が含まれていないかチェックし、検出された場合、詳細なエラー情報を投げます。 2. テストケース： - ファイル内で、エラーメッセージの正確性と完全性を確保するための複数のテストケースが追加されました。 - テストケースは、通常のクエリ、トリガー、およびサポートされていない関数を含むクエリなど、様々なシナリオを網羅しています。 POCコード 関連するコードスニペットは以下の通りです： ```clojure (defn- unsupported-builtin-functions "H2 built-in functions that operate on the server environment (filesystem, linked databases, and session and memory state) rather than on query data. They are not supported in native queries or actions, and can be embedded inside otherwise-ordinary SELECT/CALL statements, so they are matched by name rather than by statement type." #{"ABORT_SESSION" "CANCEL_SESSION" "CSVREAD" "CSVWRITE" "DATABASE_PATH" "DB_OBJECT_ID" "DB_OBJECT_SQL" "FILE_READ" "FILE_WRITE" "LINK_SCHEMA" "MEMORY_FREE" "MEMORY_USED"}) (defn- unsupported-builtin-functions-regex (re-pattern (str "(\\s

目標達成すべての支援者に感謝 — 100%達成しました！

Metabase H2 Driver SSRF/RCE Fix via Error Message Improvement and Blocked Functions

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Metabase H2 Driver SSRF/RCE Fix via Error Message Improvement and Blocked Functions

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！