Migliaia di istanze Metabase self-hosted esposte da CVE-2026-72898

Riepilogo

Una grave vulnerabilità di SQL injection non autenticata in Metabase versione 0.58 e successive consente agli attaccanti di ottenere l’accesso amministrativo al database dell’applicazione. Questo difetto può consentire il furto delle credenziali dei database collegati e può facilitare il movimento laterale. Sono già stati osservati sfruttamenti in natura prima della divulgazione pubblica.

Indagine

Il team TRACE di Dataminr ha condotto una scansione a livello globale identificando circa 11.000 istanze Metabase autogestite, incluse 4.309 segnalate come potenzialmente vulnerabili. La revisione ha rilevato che oltre il 97% degli host identificati nei rami interessati è rimasto non aggiornato. Diversi tenant di Metabase Cloud hanno già divulgato incidenti di accesso non autorizzato ai dati.

Mitigazione

Le organizzazioni devono aggiornare immediatamente le distribuzioni Metabase autogestite alle ultime versioni aggiornate per i rispettivi rami. Se l’aggiornamento non può avvenire subito, l’accesso esterno all’endpoint /api/session/reset_password dovrebbe essere limitato tramite WAF o controlli di rete. Gli amministratori dovrebbero anche revocare tutte le sessioni attive svuotando la tabella core_session.

Risposta

Dopo il rilevamento, le organizzazioni devono ruotare tutte le credenziali per i database collegati a Metabase entro 24 ore. I team di sicurezza dovrebbero eseguire il threat hunting esaminando i log delle attività di Metabase, la cronologia delle query e i log di accesso ai database collegati per azioni amministrative anomale. I team devono anche convalidare se l’endpoint di reset della password è ancora raggiungibile da reti non attendibili.

Esecuzione di Simulazione

• Narrazione & Comandi dell’Attacco: L’attaccante ha identificato un’istanza di Metabase in esecuzione sul server web di destinazione. Sapendo che CVE-2026-72898 consente l’SQL injection non autenticato tramite il flusso di reset della password, l’attaccante crea una richiesta POST dannosa. L’obiettivo è inviare un payload al /api/session/reset_password endpoint che sfrutti il database sottostante. Questa azione è progettata per attivare la regola di rilevamento colpendo l’URI specifico e il metodo definiti nella logica.

• Script di Test di Regressione:

   #!/bin/bash
    # Script di simulazione per il tentativo di sfruttamento CVE-2026-72898
    # Obiettivo: Endpoint Metabase /api/session/reset_password
  
    TARGET_URL="http://localhost/api/session/reset_password"
  
    echo "[+] Avvio attacco di simulazione SQL injection tramite richiesta POST..."
  
    # Invio di un payload dannoso simulato tramite POST
    # Il payload rappresenta un tentativo di iniettare SQL nel flusso di reset della password
    curl -X POST "$TARGET_URL" 
         -H "Content-Type: application/json" 
         -d '{"email": "admin@example.com", "new_password": "password''' OR 1=1 --"}'
  
    echo -e "n[+] Comando di attacco inviato. Verifica SIEM per il rilevamento del POST /api/session/reset_password"

• Comandi di Pulizia:

   # Nessuna modifica permanente è apportata al sistema dal comando curl.
    # Per cancellare i log di Nginx per uno stato pulito (usare con cautela in produzione):
    # sudo truncate -s 0 /var/log/nginx/access.log
    echo "[+] Pulizia completata. Nessun artefatto lasciato sul sistema di destinazione."