Metabase

Die Business-Intelligence-Plattform Metabase enthält eine SQL-Injection-Schwachstelle im Endpunkt zum Zurücksetzen von Passwörtern. Da dieser Endpunkt ohne Anmeldung erreichbar ist, kann ein Angreifer aus der Ferne und ohne Zugangsdaten eigene SQL-Befehle in die Anwendungsdatenbank von Metabase einschleusen. Auf diesem Weg verschafft er sich Administratorrechte auf der betroffenen Instanz. Mit diesem Zugang kann er die Konfiguration der Anwendung verändern, die dort hinterlegten Zugangsdaten für die angebundenen Datenbanken auslesen und anschließend alle über diese Verbindungen erreichbaren Daten einsehen und exportieren. Damit ist nicht nur Metabase selbst betroffen, sondern potenziell der gesamte Datenbestand aller angeschlossenen Datenquellen – ein besonders schwerwiegender Umstand, weil Metabase typischerweise mit zentralen Unternehmensdatenbanken verbunden ist und häufig über das Internet erreichbar betrieben wird.