Metabaseがゼロデイ攻撃で悪用された脆弱性にパッチを提供

データ分析ソリューションプロバイダーのMetabaseは、実際の攻撃でゼロデイとして悪用された深刻度クリティカルのSQLインジェクション脆弱性に対し、緊急パッチをリリースしました。

このセキュリティ上の欠陥により、リモートの未認証攻撃者がMetabaseアプリケーションのデータベースに任意のSQLクエリを注入し、管理者権限を取得できる状態になっていました。

Metabaseのアドバイザリには、次のように記載されています。「そこから攻撃者はアプリケーションの構成を変更し、接続されたデータベースの保存済み認証情報を窃取した上で、それらの接続を通じてアクセス可能なあらゆるデータを読み取り、データを持ち出すことができた可能性があります」

この不具合にはCVE識別子が割り当てられていませんが、Metabase Cloudを標的とした攻撃において脅威アクターがこれをゼロデイとして悪用したことで発覚したと、Metabaseは警告しています。

Metabaseはこう述べています。「我々は直ちに攻撃に使用されたエンドポイントをブロックし、その後速やかに脆弱性を特定してパッチを適用しました」

Metabase Cloudのインスタンスはすでに更新・パッチ適用済みですが、セルフホスティングを行っているユーザーに対しては、侵害のリスクを防ぐためできるだけ早くパッチを適用するよう推奨しています。

パッチ適用が不可能な場合の暫定的な回避策として、ユーザーは/api/session/reset_passwordエンドポイントをブロックすることが推奨されています。

このエンドポイントがインターネットからアクセス可能な状態にある場合、ユーザーはまずパッチを適用した上で、すべてのアクティブなユーザーセッションを無効化し、APIキーを見直して認識できないキーを削除し、管理者アカウントを確認し、接続されているすべてのデータベースの認証情報をローテーションし、ログおよびMetabaseのアクティビティを確認して不審なアクセスがないか調べる必要があります。

侵害の可能性を特定するには、ステータスコード「400」を伴う「POST /api/session/reset_password」呼び出しの後に、ステータスコード「200」を伴う「GET /api/user/current」呼び出しが続くパターンがないかを確認する必要があります。

Metabaseは次のように述べています。「アプリケーションログやMetabaseサーバーのイングレスログにこのパターンが見つかった場合、お使いのインスタンスは侵害されている可能性が高いです」

Metabaseのバージョン63.5、62.9、61.11、60.17、59.21、58.24には、必要なパッチが含まれています。