Metabase исправила использованную в атаках уязвимость SQL-инъекций нулевого дня
Материал подготовлен искусственным интеллектом на основе нескольких источников — ссылки на оригиналы приведены ниже.
Metabase сообщила, что её облачная платформа Metabase Cloud была скомпрометирована через уязвимость SQL-инъекций нулевого дня с оценкой CVSS 10. Компания оперативно заблокировала векторы атак, выпустила исправление и автоматически обновила облачные инстансы. Пользователи, самостоятельно размещающие Metabase с открытым доступом к эндпоинту /api/session/reset_password, остаются уязвимыми.
Уязвимость
Metabase присвоила уязвимости нулевого дня максимальную оценку CVSS 10, идентификатор CVE пока не назначен. Уязвимость затрагивает версии Metabase 1.58 и выше. Согласно рекомендациям на GitHub, эксплуатация позволяет удалённому злоумышленнику внедрить SQL-команды и получить права администратора. После этого атакующий может изменить конфигурацию, похитить учётные данные подключённых баз данных и экспортировать информацию.
Кто под угрозой
Облачные клиенты Metabase автоматически получили исправления, дополнительных действий не требуется. Пользователи, самостоятельно размещающие Metabase, остаются уязвимы, если предоставляют публичный доступ к эндпоинту /api/session/reset_password. Йоханнес Ульрих из SANS Internet Storm Center отметил, что Metabase обычно открывает API на порту 3000, и большинство установок, вероятно, имеют открытый сетевой доступ. «Нет очевидных причин скрывать API сброса пароля, так как он может понадобиться пользователям», — сказал Ульрих. Неясно, ограничивались ли атаки только облачной версией или затронули и самостоятельно размещённые экземпляры.
Что дальше
Metabase пока не раскрыла полный масштаб атаки и не сообщила, были ли скомпрометированы самостоятельно размещённые инстансы. Организации, использующие подключённые к Metabase базы данных, могут столкнуться с кражей учётных данных, если эксплуатация осталась незамеченной.
3 источника
Metabase исправила использованную в атаках уязвимость SQL-инъекций нулевого дня
