Nach Angaben von Metabase handelt es sich um eine Schwachstelle ohne CVE-Kennung. Sie betrifft die Anwendungsdatenbank der Plattform und erlaubt es einem nicht authentifizierten entfernten Angreifer, beliebigen SQL-Code einzuschleusen. Der praktische Effekt ist gravierend: Der Angreifer kann Administratorzugriff auf die jeweilige Instanz erlangen.
Mit diesem erhöhten Zugriff sind laut Metabase mehrere Folgeaktionen möglich. Genannt werden Änderungen an der Anwendungskonfiguration, der Diebstahl gespeicherter Zugangsdaten für verbundene Datenbanken, das Lesen aller Daten, die über diese Verbindungen erreichbar sind, sowie der Export von Daten.
In einem Sicherheitshinweis erklärte Metabase, man habe kürzlich festgestellt, dass Metabase Cloud von jemandem angegriffen wurde, der eine unbekannte Zero-Day-Sicherheitslücke in Versionen 1.58 und höher ausnutzte. Details zu den bösartigen Aktivitäten veröffentlichte das Unternehmen nicht. Allerdings stellte Metabase Indikatoren für eine Kompromittierung bereit. Metabase-CEO Sameer Al-Sakran sagte, dass eine Instanz wahrscheinlich kompromittiert wurde, wenn sich das genannte Muster in den Anwendungsprotokollen oder in den Ingress-Protokollen des Metabase-Servers findet.
Metabase Cloud ist nach Angaben des Herstellers bereits auf die neueste Version aktualisiert worden. Kunden mit selbst gehosteten Installationen sollen die bereitgestellten Sicherheitsupdates unverzüglich einspielen. Bis die Korrekturen angewendet werden können, empfiehlt Metabase als Workaround, den Endpunkt “/api/session/reset_password” zu blockieren.
Nach Abschluss des Updates rät das Unternehmen Kunden, deren Endpunkt “/api/session/reset_password” öffentlich erreichbar ist, weitere von Metabase vorgegebene Schritte auszuführen. Welche Versionen genau betroffen sind, verweist der Hersteller in seinem Hinweis ebenfalls aus.
Zu den bekannten Betroffenen zählt Framework. Laut Engadget informierte der PC-Hersteller seine Kunden darüber, dass bei dem Angriff Kundennamen, Anmelde-IP-Adressen, Anschriften, Telefonnummern und E-Mail-Adressen abgerufen wurden. Bestell- oder Zahlungsinformationen seien nicht betroffen gewesen.
Metabase hatte bereits vor genau drei Jahren eine andere, nach eigener Beschreibung „extrem schwerwiegende“ Schwachstelle behoben. Dabei handelte es sich um CVE-2023-38646 mit einem CVSS-Wert von 9,8, die auf betroffenen Installationen zu Remotecodeausführung vor der Authentifizierung hätte führen können.