Tausende selbstgehostete Metabase-Instanzen durch CVE-2026-72898 ausgesetzt

Zusammenfassung

Eine kritische, nicht authentifizierte SQL-Injektionslücke in Metabase Version 0.58 und höher ermöglicht es Angreifern, Administratorzugriff auf die Anwendungsdatenbank zu erlangen. Diese Schwachstelle kann Diebstahl von Zugangsdaten für verbundene Datenbanken ermöglichen und seitliche Bewegung erleichtern. Eine Ausnutzung dieser Schwachstelle wurde bereits vor der öffentlichen Offenlegung beobachtet.

Untersuchung

Das TRACE-Team von Dataminr führte einen internetweiten Scan durch und identifizierte dabei etwa 11.000 selbst gehostete Metabase-Instanzen, darunter 4.309, die als potenziell anfällig gelten. Die Überprüfung ergab, dass über 97% der erkannten Hosts in den betroffenen Zweigen ungepatcht blieben. Mehrere Metabase-Cloud-Tenants haben bereits unbefugte Datenzugriffsinzidenzen offengelegt.

Abschwächung

Organisationen sollten selbst gehostete Metabase-Bereitstellungen sofort auf die neuesten gepatchten Versionen ihrer jeweiligen Zweige aktualisieren. Falls ein Patchen nicht sofort möglich ist, sollte der externe Zugriff auf den /api/session/reset_password-Endpunkt über WAF oder Netzwerksteuerungen eingeschränkt werden. Administratoren sollten auch alle aktiven Sitzungen widerrufen, indem sie die core_session-Tabelle löschen.

Reaktion

Nach der Erkennung müssen Organisationen innerhalb von 24 Stunden alle Anmeldedaten für mit Metabase verbundenen Datenbanken ändern. Sicherheitsteams sollten Bedrohungsanalysen durchführen, indem sie Metabase-Aktivitätsprotokolle, Abfragehistorien und Zugriffprotokolle verbundener Datenbanken auf anomale administrative Aktionen überprüfen. Teams müssen auch überprüfen, ob der Passwort-Reset-Endpunkt noch von nicht vertrauenswürdigen Netzwerken erreichbar ist.

Simulationsausführung

• Angriffsnarrativ & Befehle: Der Angreifer hat eine Metabase-Instanz identifiziert, die auf dem Ziel-Webserver läuft. Weil er weiß, dass CVE-2026-72898 eine nicht authentifizierte SQL-Injektion über den Passwort-Reset-Prozess ermöglicht, erstellt der Angreifer eine bösartige POST-Anfrage. Das Ziel ist es, eine Nutzlast an den /api/session/reset_password Endpunkt zu senden, die die zugrunde liegende Datenbank ausnutzt. Diese Aktion ist darauf ausgelegt, die Erkennungsregel auszulösen, indem die spezifische URI und Methode, die in der Logik definiert sind, getroffen werden.

• Regressions-Testskript:

   #!/bin/bash
    # Simulationsskript für den CVE-2026-72898-Ausnutzungsversuch
    # Ziel: Metabase /api/session/reset_password Endpunkt
  
    TARGET_URL="http://localhost/api/session/reset_password"
  
    echo "[+] Simulierten SQL-Injektionsangriff über POST-Anfrage einleiten..."
  
    # Versand einer simulierten bösartigen Nutzlast über POST
    # Die Nutzlast stellt einen Versuch dar, SQL in den Passwort-Reset-Prozess einzuschleusen
    curl -X POST "$TARGET_URL" 
         -H "Content-Type: application/json" 
         -d '{"email": "admin@example.com", "new_password": "password''' OR 1=1 --"}'
  
    echo -e "n[+] Angriffs-Kommandos gesendet. Überprüfen Sie SIEM auf Erkennung von POST /api/session/reset_password"

• Bereinigungskommandos:

   # Durch den curl-Befehl werden keine dauerhaften Änderungen am System vorgenommen.
    # Um Nginx-Protokolle für einen sauberen Zustand zu löschen (mit Vorsicht in Produktionsumgebungen verwenden):
    # sudo truncate -s 0 /var/log/nginx/access.log
    echo "[+] Bereinigung abgeschlossen. Keine Artefakte auf dem Zielsystem übrig."