Тисячі самостійно розміщених екземплярів Metabase під загрозою через CVE-2026-72898

Резюме

Критична вразливість неавторизованої SQL-ін’єкції в Metabase версії 0.58 і пізніших версіях дозволяє зловмисникам отримувати адміністративний доступ до бази даних додатка. Цей недолік може дозволити крадіжку облікових даних підключеної бази даних і сприяти бічному переміщенню. Експлуатація вже спостерігалася в дикій природі до публічного розкриття.

Розслідування

Команда TRACE від Dataminr провела глобальне сканування інтернету, виявивши приблизно 11,000 самохостованих інстанцій Metabase, серед яких 4,309 позначені як потенційно вразливі. Огляд показав, що понад 97% відбитих вузлів на уражених гілках залишались не оновленими. Декілька клієнтів Metabase Cloud вже розкрили факти неавторизованого доступу до даних.

Зменшення ризику

Організації повинні негайно оновити самохостовані розгортання Metabase до останніх виправлених версій для відповідних гілок. Якщо оновлення не може відбутися негайно, доступ ззовні до /api/session/reset_password потрібно обмежити за допомогою WAF або мережних контролів. Адміністратори також повинні відкликати всі активні сесії, очистивши таблицю core_session.

Відповідь

Після виявлення організації повинні обов’язково змінити всі облікові дані для баз даних, підключених до Metabase, протягом 24 годин. Команди з безпеки повинні виконати пошук загроз, переглядаючи журнали активності Metabase, історії запитів та журнали доступу до підключених баз даних на наявність аномальних адміністративних дій. Команди також повинні перевірити, чи залишився доступним endpoint скидання пароля з недовірених мереж.

Виконання симуляції

• Опис атаки та команди: Зловмисник визначив інстанцію Metabase, що працює на цільовому вебсервері. Знаючи, що CVE-2026-72898 дозволяє неавторизовану SQL-ін’єкцію через процес скидання пароля, зловмисник створює шкідливий POST-запит. Мета полягає у відправці шкідливого навантаження на endpoint /api/session/reset_password що експлуатує базу даних. Ця дія призначена для виклику правила виявлення, шляхом натискання на певний URI і метод, визначений в логіці.

• Сценарій тестування регресії:

   #!/bin/bash
    # Симуляційний скрипт для спроби експлуатації CVE-2026-72898
    # Ціль: endpoint Metabase /api/session/reset_password
  
    TARGET_URL="http://localhost/api/session/reset_password"
  
    echo "[+] Ініціювання симульованої атаки SQL-ін'єкції через POST-запит..."
  
    # Відправка симульованого шкідливого навантаження через POST
    # Навантаження є репрезентативним для спроби ін'єкції SQL у процес скидання пароля
    curl -X POST "$TARGET_URL" 
         -H "Content-Type: application/json" 
         -d '{"email": "admin@example.com", "new_password": "password''' OR 1=1 --"}'
  
    echo -e "n[+] Команда атаки відправлена. Перевірити SIEM для виявлення POST /api/session/reset_password"

• Команди очищення:

   # Постійні зміни в системі командою curl не вносяться.
    # Для очищення логів Nginx для чистого стану (використовувати з обережністю у продакшні):
    # sudo truncate -s 0 /var/log/nginx/access.log
    echo "[+] Очищення завершено. На цільовій системі немає залишків."