Die Schwachstelle ermöglicht laut Metabase nicht authentifizierten Angreifern aus der Ferne, beliebige SQL-Abfragen in die Metabase-Anwendungsdatenbank einzuschleusen. Dadurch können sie administrativen Zugriff auf betroffene Instanzen erlangen.

Mit diesem Zugriff wären weitere Schritte möglich. In seinem Sicherheitshinweis schreibt Metabase, ein Angreifer könne anschließend die Anwendungskonfiguration verändern, gespeicherte Zugangsdaten für angebundene Datenbanken stehlen, sämtliche über diese Verbindungen erreichbaren Daten lesen und Daten exportieren.

Eine CVE-Kennung gibt es für die Lücke bislang nicht. Metabase teilt jedoch mit, die Schwachstelle sei entdeckt worden, nachdem ein Bedrohungsakteur sie als Zero-Day bei einem Angriff auf Metabase Cloud ausgenutzt hatte. Nach Unternehmensangaben wurden die dabei verwendeten Endpunkte umgehend blockiert, danach sei die Schwachstelle schnell identifiziert und gepatcht worden.

Für Metabase Cloud sind die Korrekturen bereits eingespielt. Betreiber selbst gehosteter Instanzen sollen die Updates umgehend anwenden. Falls ein Patch kurzfristig nicht möglich ist, empfiehlt Metabase als vorübergehende Gegenmaßnahme, den Endpunkt /api/session/reset_password zu blockieren.

Ist dieser Endpunkt aus dem Internet erreichbar, nennt Metabase weitere Schritte nach dem Einspielen der Patches: Alle aktiven Benutzersitzungen sollen widerrufen, API-Schlüssel überprüft und nicht erkannte Schlüssel gelöscht, Administratorkonten kontrolliert, Zugangsdaten für alle verbundenen Datenbanken rotiert sowie Protokolle und die Metabase-Aktivität auf verdächtige Zugriffe untersucht werden.

Für die Suche nach möglichen Kompromittierungen nennt das Unternehmen ein konkretes Muster in den Protokollen: einen Aufruf „POST /api/session/reset_password“ mit dem Statuscode 400, gefolgt von einem Aufruf „GET /api/user/current“ mit dem Statuscode 200. Findet sich dieses Muster in den Anwendungsprotokollen oder in den Ingress-Protokollen des Metabase-Servers, sei die jeweilige Instanz wahrscheinlich kompromittiert, so Metabase.

Die notwendigen Patches sind in den Versionen 63.5, 62.9, 61.11, 60.17, 59.21 und 58.24 enthalten.