Miles de Instancias de Metabase Autoalojadas Expuestas por CVE-2026-72898

Resumen

Una vulnerabilidad crítica de inyección SQL no autenticada en Metabase versión 0.58 y posteriores permite a los atacantes obtener acceso de administrador a la base de datos de la aplicación. Este fallo puede habilitar el robo de credenciales de bases de datos conectadas y puede facilitar el movimiento lateral. Se ha observado la explotación en el campo antes de la divulgación pública.

Investigación

El equipo TRACE de Dataminr realizó un escaneo a nivel mundial del internet identificando aproximadamente 11,000 instancias auto-hospedadas de Metabase, incluyendo 4,309 marcadas como potencialmente vulnerables. La revisión encontró que más del 97% de los hosts identificados en las ramas afectadas permanecían sin parchear. Varios inquilinos de Metabase Cloud ya han revelado incidentes de acceso no autorizado a datos.

Mitigación

Las organizaciones deben actualizar inmediatamente las implementaciones auto-hospedadas de Metabase a las versiones parcheadas más recientes para sus respectivas ramas. Si no se puede parchear de inmediato, el acceso externo al endpoint /api/session/reset_password debe ser restringido mediante WAF o controles de red. Los administradores también deben revocar todas las sesiones activas limpiando la tabla core_session.

Respuesta

Después de la detección, las organizaciones deben rotar todas las credenciales para las bases de datos conectadas a Metabase dentro de las 24 horas. Los equipos de seguridad deben realizar caza de amenazas revisando los registros de actividad de Metabase, el historial de consultas y los registros de acceso a bases de datos conectadas para acciones administrativas anómalas. Los equipos también deben validar si el endpoint de restablecimiento de contraseña sigue siendo accesible desde redes no confiables.

Ejecution de Simulación

• Narrativa del Ataque & Comandos: El atacante ha identificado una instancia de Metabase ejecutándose en el servidor web objetivo. Sabiendo que el CVE-2026-72898 permite la inyección SQL no autenticada a través del flujo de restablecimiento de contraseña, el atacante fabrica una solicitud POST maliciosa. El objetivo es enviar una carga útil a la /api/session/reset_password al endpoint que explota la base de datos subyacente. Esta acción está diseñada para activar la regla de detección al golpear el URI y método específicos definidos en la lógica.

• Script de Prueba de Regresión:

   #!/bin/bash
    # Script de simulación para intento de explotación de CVE-2026-72898
    # Objetivo: Endpoint Metabase /api/session/reset_password
  
    TARGET_URL="http://localhost/api/session/reset_password"
  
    echo "[+] Iniciando ataque simulado de inyección SQL vía solicitud POST..."
  
    # Enviando una carga útil maliciosa simulada vía POST
    # La carga útil es representativa de un intento de inyectar SQL en el flujo de restablecimiento de contraseña
    curl -X POST "$TARGET_URL" 
         -H "Content-Type: application/json" 
         -d '{"email": "admin@example.com", "new_password": "password''' OR 1=1 --"}'
  
    echo -e "n[+] Comando de ataque enviado. Verifique SIEM para la detección de POST /api/session/reset_password"

• Comandos de Limpieza:

   # No se realizan cambios permanentes en el sistema por el comando curl.
    # Para limpiar los registros de Nginx para un estado limpio (usar con precaución en producción):
    # sudo truncate -s 0 /var/log/nginx/access.log
    echo "[+] Limpieza completa. No quedan artefactos en el sistema objetivo."