Metabaseのゼロデイ脆弱性を悪用したSQLインジェクション攻撃で顧客データが窃取される

MetabaseのクリティカルなSQLインジェクション脆弱性がゼロデイ攻撃で悪用され、顧客インスタンスへの侵入とデータ窃取が発生しました。FrameworkとTallyへの影響が確認されています。

Metabaseは木曜日にこの攻撃を公表し、自社のMetabase Cloud SaaSプラットフォームがバージョン1.58以降に存在する未知の脆弱性を通じて侵害されたと警告しました。同社は、セルフホスト型のインストール環境も同様に脆弱であると警告しています。

Metabaseの最高経営責任者(CEO)であるSameer Al-Sakran氏はブログ投稿で、「私たちは最近、Metabase Cloudがバージョン1.58以降に存在する未知の(「ゼロデイ」)セキュリティ脆弱性を利用した攻撃者に狙われたことを確認しました」と警告しています。

Metabaseは、攻撃に使用されたエンドポイントをブロックし、直ちに脆弱性の修正版をリリースしたことを確認しています。

「この脆弱性は、Metabaseにおける未認証のSQLインジェクション欠陥であり、最終的にリモート攻撃者が顧客インスタンスの管理者権限を取得できてしまうものです」としています。

Metabaseはこの脆弱性にCVE識別子を割り当てていませんが、セキュリティアドバイザリではCVSSスコア10.0の「Critical(緊急)」と評価しており、実際に悪用されたことも確認されています。

関連するセキュリティアドバイザリには、「これは、未認証のリモート攻撃者がMetabaseアプリケーションのデータベースに任意のSQLを注入できてしまうCRITICAL(緊急)な脆弱性であり、これによりインスタンスの管理者権限を取得される可能性があります」と記載されています。

「そこから攻撃者はアプリケーションの設定を変更したり、接続先データベースの認証情報を窃取したり、それらの接続を通じてアクセス可能なあらゆるデータを読み取り、データをエクスポートしたりすることが可能でした。Metabaseは、この脆弱性が実際に悪用されたことを確認しています」

Metabaseは、組織が自前でホストできるソフトウェアとしても、同社のマネージドSaaSサービスであるMetabase Cloudとしても提供されています。

Metabaseによると、Cloud版の顧客についてはすでにアップグレードとパッチ適用が完了している一方、脆弱なセルフホスト環境を運用している組織は手動でアップデートを行う必要があるとしています。

このSQLi脆弱性は、影響を受けるすべてのブランチである0.58から0.63までのパッチ版で修正されており、安全とされる最小バージョンは0.58.24、0.59.21、0.60.17、0.61.11、0.62.9、0.63.5となっています。

直ちにアップグレードできない組織に対しては、アップデートが適用できるまでの間、「/api/session/reset_password」エンドポイントへのアクセスを一時的にブロックするよう推奨されています。

Metabaseは、セルフホスト版の顧客に対し、直ちにアップグレードを行い、すべてのアクティブなユーザーセッションを無効化し、APIキーおよび管理者アカウントに不正な変更がないか確認し、接続先データベースの認証情報をローテーションし、ログとクエリ履歴に侵害の痕跡がないか調査するよう推奨しています。

同社によると、攻撃は/api/session/reset_passwordへのPOSTリクエストがステータスコード400を返し、その後/api/user/currentへのGETリクエストが成功するというパターンで特定できるとしています。

Metabaseは、これらのログ記録が見られるシステムログについては侵害された可能性が高いと警告しています。

顧客各社がMetabaseのデータ窃取攻撃を公表

ノートパソコンメーカーのFrameworkは、Metabaseインスタンスへの攻撃者の侵入により顧客情報が窃取されたことを確認した企業の一つです。

BleepingComputerと共有された、顧客宛の侵害通知の中でFrameworkは、今回のインシデントにより攻撃者が顧客情報を窃取できる状態にあったと説明しています。窃取されたデータには、氏名、メールアドレス、ログインIPアドレス、請求先・配送先住所情報、電話番号、会社名が含まれます。

Framework for Businessの顧客については、これに加えて会社名、電話番号、VAT(付加価値税番号)、EIN(雇用主識別番号)、請求先メールアドレスも含まれる可能性があるとしています。

Frameworkによると、Metabaseから8月6日に、同社のインスタンスがこのゼロデイ脆弱性の影響を受けており、8月3日に攻撃者にアクセスされていたことが通知されたということです。

人気のオンラインフォーム作成サービスであるTallyも、8月3日に自社のMetabase分析環境が侵害されたことをユーザーに通知しています。

「それを通じて、彼らはあなたのメールアドレスと、暗号化ハッシュ化されたパスワードにアクセスしました。ハッシュは一方向性の処理であるため、パスワードに逆変換することはできません。あなたのフォームや、そこに寄せられた回答にはアクセスされていません。それらは別に保管されています」としています。

BleepingComputerはTallyに対し、使用されているパスワードハッシュ化アルゴリズムや、流出したパスワードハッシュにソルトが付与されていたかどうかを問い合わせましたが、本記事公開時点で回答は得られていません。

BleepingComputerと共有されたメールの中で、LexisNexisは、サードパーティベンダーの一社に対するサイバー攻撃の影響を受けたことを顧客に警告しています。

同社はこれがMetabase APIに関連するものであるとは明言していませんが、自社のMetabase APIが今回の攻撃の影響を受けたことは認めています。

LexisNexisのメールには、「Diligence、Metabase API、Newsdeskに影響を及ぼしているサービス障害について、最新情報をお伝えします」と記載されています。

「今週初め、当社は、サードパーティベンダーによってホストおよび管理されているサーバー上で異常な活動を検知しました。お客様を保護し、問題の発生源を封じ込めるため、当社はこれらのサードパーティシステムから直ちに切断するという決定を下しました」

LexisNexisによると、これらのシステムをオフラインにしたことで影響を受けたアプリケーションが利用できなくなったものの、調査を行う上でこの措置は必要だったとしています。

今回の攻撃で顧客データが流出したかどうかはまだ明らかになっていませんが、同社はサイバーセキュリティのフォレンジック専門企業と協力してこのインシデントを調査しているとしています。