Metabase beschreibt die Schwachstelle als nicht authentifizierte SQL-Injection in der eigenen Plattform. Laut Sicherheitsmitteilung kann ein entfernter Angreifer darüber Administratorrechte in einer Kundeninstanz erlangen. Von dort aus könne er die Anwendungskonfiguration verändern, gespeicherte Zugangsdaten für verbundene Datenbanken entwenden, über diese Verbindungen zugängliche Daten lesen und exportieren. Metabase bestätigt, dass die Lücke bereits aktiv ausgenutzt wurde.
Eine CVE-Nummer gibt es bislang nicht. In seinem Advisory bewertet Metabase die Schwachstelle jedoch als „kritisch“ mit einem CVSS-Wert von 10,0. Nach Unternehmensangaben wurden Cloud-Kunden bereits aktualisiert und abgesichert. Organisationen mit verwundbaren Self-Hosted-Installationen müssen die Aktualisierung dagegen selbst einspielen.
Behoben wurde die Lücke in gepatchten Versionen aller betroffenen Entwicklungszweige von 0.58 bis 0.63. Als kleinste sichere Versionen nennt Metabase 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 und 0.63.5. Wer nicht sofort aktualisieren kann, soll den Zugriff auf den Endpunkt „/api/session/reset_password“ vorübergehend blockieren. Zudem empfiehlt das Unternehmen selbst gehosteten Kunden, alle aktiven Benutzersitzungen zu widerrufen, API-Schlüssel und Administratorkonten auf unautorisierte Änderungen zu prüfen, Zugangsdaten für angebundene Datenbanken zu rotieren sowie Protokolle und Abfragehistorien auf Hinweise einer Kompromittierung zu untersuchen.
Hinweise auf Angriffe liefert laut Metabase eine POST-Anfrage an „/api/session/reset_password“ mit einem 400-Statuscode, gefolgt von einer erfolgreichen GET-Anfrage an „/api/user/current“. Tauchen diese Einträge in Systemprotokollen auf, geht das Unternehmen davon aus, dass die betroffene Instanz wahrscheinlich kompromittiert wurde.
Zu den bislang bestätigten Opfern gehört der Laptop-Hersteller Framework. In einer an Kunden versandten und von BleepingComputer eingesehenen Benachrichtigung teilte das Unternehmen mit, dass Angreifer nach der Kompromittierung seiner Metabase-Instanz Kundendaten entwenden konnten. Dazu zählen vollständige Namen, E-Mail-Adressen, Anmelde-IP-Adressen, Rechnungs- und Lieferanschriften, Telefonnummern und Firmennamen. Bei Framework-for-Business-Kunden können zusätzlich Firmenname, Telefonnummer, Umsatzsteuer-ID, EIN und die E-Mail-Adresse für die Rechnungsstellung betroffen sein.
Framework zufolge informierte Metabase das Unternehmen am 6. August darüber, dass seine Instanz für die Zero-Day-Lücke anfällig gewesen sei und der Angreifer bereits am 3. August darauf zugegriffen habe.
Auch Tally, ein Online-Formularanbieter, hat Nutzer darüber informiert, dass seine Metabase-Analyseumgebung am 3. August kompromittiert wurde. Nach Angaben des Unternehmens gelangten die Angreifer so an E-Mail-Adressen und Passwörter in Form kryptografischer Hashes. Tally betonte, ein Hash sei eine Einwegfunktion und lasse sich nicht zurück in das Passwort umwandeln. Auf Formulare oder die darüber übermittelten Antworten hätten die Angreifer nicht zugegriffen, da diese getrennt gespeichert seien. BleepingComputer fragte Tally, welcher Hashing-Algorithmus verwendet wurde und ob die offengelegten Passwort-Hashes gesalzen waren, erhielt bis zur Veröffentlichung aber keine Antwort.
Außerdem warnte LexisNexis Kunden laut einer mit BleepingComputer geteilten E-Mail vor den Folgen eines Cyberangriffs bei einem Drittanbieter. Das Unternehmen stellte keinen direkten Bezug zur Metabase-API her, erklärte jedoch, dass seine Metabase-API von dem Angriff betroffen gewesen sei. In der Mitteilung nennt LexisNexis eine Dienstunterbrechung bei Diligence, Metabase API und Newsdesk. Anfang der Woche habe man ungewöhnliche Aktivitäten auf Servern festgestellt, die von einem Drittanbieter gehostet und verwaltet würden. Um Kunden zu schützen und den Vorfall an der Quelle einzudämmen, habe man die Verbindung zu diesen Systemen sofort getrennt. Ob dabei Kundendaten offengelegt wurden, sei noch unklar; LexisNexis arbeite zur Untersuchung mit einem forensischen Cybersicherheitsdienstleister zusammen.