Des milliers d’instances Metabase auto-hébergées exposées par CVE-2026-72898

Résumé

Une vulnérabilité critique de type injection SQL non authentifiée dans Metabase version 0.58 et ultérieure permet aux attaquants d’obtenir un accès administrateur à la base de données de l’application. Ce défaut peut permettre le vol des identifiants de bases de données connectées et peut faciliter les mouvements latéraux. L’exploitation a déjà été observée dans la nature avant la divulgation publique.

Enquête

L’équipe TRACE de Dataminr a effectué un scan à l’échelle de l’internet identifiant environ 11 000 instances Metabase auto-hébergées, dont 4 309 considérées comme potentiellement vulnérables. La revue a révélé que plus de 97% des hôtes enregistrés sur des branches affectées restaient non corrigés. Plusieurs locataires de Metabase Cloud ont déjà signalé des incidents d’accès non autorisé aux données.

Atténuation

Les organisations doivent immédiatement mettre à jour les déploiements Metabase auto-hébergés vers les dernières versions corrigées pour leurs branches respectives. Si la mise à jour ne peut être effectuée immédiatement, l’accès externe au point de terminaison /api/session/reset_password doit être restreint via WAF ou des contrôles réseau. Les administrateurs doivent également révoquer toutes les sessions actives en vidant la table core_session.

Réponse

Après détection, les organisations doivent tourner tous les identifiants pour les bases de données connectées à Metabase dans les 24 heures. Les équipes de sécurité doivent effectuer une chasse aux menaces en examinant les journaux d’activité de Metabase, l’historique des requêtes, et les journaux d’accès des bases de données connectées pour des actions administratives anormales. Les équipes doivent également valider si le point de terminaison de réinitialisation de mot de passe est toujours accessible depuis des réseaux non fiables.

Exécution de simulation

• Narratif & Commandes d’attaque : L’attaquant a identifié une instance Metabase fonctionnant sur le serveur web cible. Sachant que la CVE-2026-72898 permet une injection SQL non authentifiée via le flux de réinitialisation de mot de passe, l’attaquant crée une requête POST malveillante. L’objectif est d’envoyer une charge utile au /api/session/reset_password point de terminaison qui exploite la base de données sous-jacente. Cette action est conçue pour déclencher la règle de détection en frappant l’URI et la méthode spécifiques définis dans la logique.

• Script de test de régression :

   #!/bin/bash
    # Script de simulation pour la tentative d'exploitation de CVE-2026-72898
    # Cible : point de terminaison Metabase /api/session/reset_password
  
    TARGET_URL="http://localhost/api/session/reset_password"
  
    echo "[+] Lancement d'une attaque simulée par injection SQL via requête POST..."
  
    # Envoi d'une charge utile malveillante simulée via POST
    # La charge utile représente une tentative d'injection SQL dans le flux de réinitialisation de mot de passe
    curl -X POST "$TARGET_URL" 
         -H "Content-Type: application/json" 
         -d '{"email": "admin@example.com", "new_password": "password''' OR 1=1 --"}'
  
    echo -e "n[+] Commande d'attaque envoyée. Vérifiez SIEM pour la détection de POST /api/session/reset_password"

• Commandes de nettoyage :

   # Aucune modification permanente n'est effectuée sur le système par la commande curl.
    # Pour effacer les journaux Nginx pour un état propre (à utiliser avec prudence en production) :
    # sudo truncate -s 0 /var/log/nginx/access.log
    echo "[+] Nettoyage complet. Aucun artefact laissé sur le système cible."