Metabase : correctif critique de sécurité en 64.3.4 (AVI-1403)

Le CERT-FR a publié le 28 octobre 2026 l'avis CERTFR-2026-AVI-1403, qui relaie le bulletin de sécurité Metabase (GHSA-v44v-x8x4-mvcw). L'avis éditeur est classé critique. Le CERT-FR note un risque « non spécifié par l'éditeur » — formulation prudente qui reflète le fait que Metabase publie un lot de corrections sans détailler chaque scénario d'exploitation.

Ce que corrige la 64.3.4

Aucun identifiant CVE n'est attribué (le bulletin indique explicitement « No known CVE »). L'avis GHSA décrit un ensemble de durcissements de sécurité :

• Validation d'entrées renforcée sur les API et la compilation des requêtes.
• Contrôles de permissions sur les modèles, métriques et questions référencés.
• Réduction de l'exposition de métadonnées.
• Gestion de session après désactivation ou réactivation d'un compte utilisateur.
• Suppression des secrets de base de données dans les exports de sérialisation.

Le bulletin ne décrit pas l'impact exploitable de chaque point individuellement. La classification critique et la nature des correctifs — permissions et secrets de connexion — justifient de traiter la mise à jour en priorité, en particulier pour les instances exposées sur Internet.

Versions concernées

• Metabase (open source) : versions antérieures à 0.64.3.4.
• Metabase Pro et Enterprise : versions antérieures à 1.64.3.4.
• La branche 64 est une version LTS ; le correctif est 0.64.3.4 / 1.64.3.4.

Que faire

1. Mettez à jour vers 0.64.3.4 (open source) ou 1.64.3.4 (Pro/Enterprise) sans attendre.
2. Faites tourner les secrets de base de données : la correction supprime ces secrets des exports de sérialisation, signe qu'ils ont pu fuiter via cette fonction. Régénérez les identifiants des bases connectées.
3. Revoyez les sessions actives des comptes récemment désactivés ou réactivés, la gestion de session faisant partie des corrections.
4. Si l'instance est exposée sur Internet, placez-la derrière une authentification en amont le temps du déploiement.

Pour mettre en perspective

Metabase est un outil de BI souvent exposé publiquement, et il a déjà fait l'objet d'une faille préauth critique très exploitée par le passé (CVE-2023-38646, exécution de code avant authentification). Rien n'indique que l'avis du jour relève du même scénario — le GHSA reste volontairement vague — mais le profil d'exposition est le même : une instance Metabase accessible depuis Internet mérite un correctif rapide par principe. Aucune exploitation active n'est mentionnée.