人気のオープンソース分析プラットフォームMetabaseに存在する、認証不要で悪用可能な最高深刻度のSQLインジェクションのゼロデイ脆弱性が実際の攻撃で悪用されていることが判明しました。この脆弱性を突かれると、攻撃者は管理者権限を奪取し、侵害されたインスタンスに接続されているすべてのデータベースの認証情報を窃取できてしまいます。
Metabaseの発表によると、同社のクラウドインフラストラクチャは2026年8月3日頃から標的にされ始めました。攻撃者はバージョン1.58を実行しているセルフホスト版およびクラウド版の展開環境に影響する、これまで知られていなかった脆弱性を悪用しました。
この脆弱性はGHSA-vwf4-m7j8-wcjfとして追跡され、CVSSスコアは10.0と評価されています。問題は認証不要のPOST /api/session/reset_passwordエンドポイントに存在します。
この脆弱性が公表された時点ではCVE識別子が割り当てられておらず、NVDのフィードのみに依存するスキャナーでは、脆弱なインスタンスを検知できない状態でした。パスワードリセット用エンドポイントに細工した入力を送信することで、認証情報を持たないリモートの攻撃者でも、Metabaseのアプリケーションデータベースに任意のSQLを注入できてしまいます。
これにより攻撃者はインスタンスへの完全な管理者アクセス権を獲得し、アプリケーション設定の変更、接続されているすべてのデータソースの認証情報の窃取、アクセス可能なデータの閲覧、さらにはそのデータの一括エクスポートまで行えてしまいます。
Metabaseは、パッチ適用と悪用されたエンドポイントの遮断を行う前に、自社クラウド環境が実際に攻撃を受けていたことを確認したと発表しました。
被害が報告されている顧客にはFrameworkおよびTallyが含まれており、不正アクセスによって氏名、メールアドレス、住所、電話番号、会社詳細情報といった顧客記録が流出したと伝えられています。
Metabase Cloudについては既に完全にパッチが適用されていますが、セルフホスト版のインスタンスは管理者が手動でアップグレードするまでリスクにさらされたままです。
防御側は、悪用の可能性を示す特徴的な2段階のパターンについて、アプリケーションログとイングレスログを調査すべきです。具体的には、/api/session/reset_passwordへのPOSTリクエストがステータスコード400を返した直後に、/api/user/currentへのGETリクエストがステータスコード200を返すというパターンです。
ログにこの一連の流れが記録されているインスタンスは、侵害されたものとして扱い、インシデント対応にエスカレーションする必要があります。
脆弱なブランチは0.58.0から0.63.xまでの範囲、およびそれに相当する1.xリリースに及びます。バージョン58未満は影響を受けません。
パッチが適用された最小安全バージョンは0.58.24、0.59.21、0.60.17、0.61.11、0.62.9、0.63.5です。いずれもそれぞれのバージョン番号がタグ付けされたDockerイメージとして、またはMetabaseの公式リリースチャンネルからダウンロード可能なJARファイルとして提供されています。
管理者は「About Metabase」パネルで現在のバージョンを確認し、該当する安全なリリースへ遅滞なくアップグレードする必要があります。
セルフホスト版のMetabaseを運用している組織は、自身のブランチに対応する最小安全バージョンへ直ちにアップグレードすべきです。
reset_passwordエンドポイントが外部から到達可能な状態になっていた場合、対応担当者はcore_sessionテーブルをクリアしてすべてのアクティブセッションを無効化し、APIキーを監査して見覚えのないエントリを削除するとともに、管理者アカウントに予期しない変更がないか確認する必要があります。
直ちにパッチを適用できない場合は、応急措置としてreset_passwordエンドポイントへのすべてのトラフィックを一時的に遮断することも可能です。
この事案は、MITRE ATT&CKの技術分類でいうExploit Public-Facing Application（インターネット公開アプリケーションの悪用）、Account Manipulation（アカウント操作）、Trusted Relationship（信頼関係の悪用）に該当するものであり、インターネットに公開されたビジネスインテリジェンスプラットフォーム上の未認証エンドポイントが、下流のデータ基盤や接続システムに対していかに大きなリスクをもたらすかを改めて浮き彫りにしています。
ANY.RUNのブラウザ内データ検査で検知・調査・対応をより迅速に。 フィッシングの完全な可視性を獲得し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/metabase-zero-day-attack/
