CVE-2026-72898により数千のセルフホストMetabaseインスタンスが露出

要約

Metabaseバージョン0.58以降における重大な認証なしSQLインジェクションの脆弱性により、攻撃者はアプリケーションデータベースへの管理者アクセスを取得できます。この欠陥は、接続されたデータベースの資格情報の窃盗を可能にし、横方向の移動を容易にする可能性があります。公表前に野生環境でのエクスプロイトが既に確認されています。

調査

DataminrのTRACEチームは、世界中のインターネットをスキャンして約11,000のセルフホスト型Metabaseインスタンスを特定し、そのうち4,309が潜在的に脆弱であるとマークされました。レビューにより、影響を受けたブランチの97％以上のフィンガープリントされたホストがパッチ未適用のままであることが判明しました。複数のMetabase Cloudテナントでは、未承認のデータアクセス事件がすでに報告されています。

緩和策

組織は、セルフホスト型Metabaseのデプロイメントを直ちに最新パッチバージョンにアップグレードする必要があります。すぐにパッチを適用できない場合、/api/session/reset_passwordエンドポイントへの外部アクセスをWAFやネットワーク制御で制限する必要があります。管理者は、core_sessionテーブルをクリアすることで、すべてのアクティブセッションを取り消すべきです。

対応

検出後、組織は24時間以内にMetabaseに接続されているすべてのデータベース資格情報をローテーションする必要があります。セキュリティチームは、Metabaseの活動ログ、クエリ履歴、接続されたデータベースのアクセスログをレビューし、異常な管理操作を探してスレットハンティングを行うべきです。また、リセットパスワードエンドポイントが未信頼のネットワークから到達可能かを検証する必要があります。

シミュレーション実行

• 攻撃のシナリオとコマンド: 攻撃者はターゲットウェブサーバ上で稼働しているMetabaseインスタンスを特定しました。CVE-2026-72898がパスワードリセットフローを通じた認証なしSQLインジェクションを許可することを知り、攻撃者は悪意のあるPOSTリクエストを作成します。目標は、 /api/session/reset_password エンドポイントに、基盤となるデータベースを悪用するペイロードを送信することです。このアクションは、ロジックで定義された特定のURIとメソッドにヒットすることで検出ルールをトリガーするよう設計されています。

• 回帰テストスクリプト:

   #!/bin/bash
    # CVE-2026-72898エクスプロイト試み用シミュレーションスクリプト
    # 対象: Metabase /api/session/reset_password エンドポイント
  
    TARGET_URL="http://localhost/api/session/reset_password"
  
    echo "[+] POSTリクエストによるシミュレートされたSQLインジェクション攻撃の開始..."
  
    # POSTによるシミュレートされた悪意のあるペイロードの送信
    # ペイロードはパスワードリセットフローへのSQLインジェクション試みを表します
    curl -X POST "$TARGET_URL" 
         -H "Content-Type: application/json" 
         -d '{"email": "admin@example.com", "new_password": "password''' OR 1=1 --"}'
  
    echo -e "n[+] 攻撃コマンドが送信されました。SIEMでのPOST /api/session/reset_passwordの検出を確認してください。"

• クリーンアップコマンド:

   # curlコマンドによってシステムに永続的な変更はありません。
    # Nginxログをクリーンな状態にするには（本番環境では慎重に使用）：
    # sudo truncate -s 0 /var/log/nginx/access.log
    echo "[+] クリーンアップ完了。ターゲットシステムにアーティファクトは残されていません。"