Tysiące Samodzielnie Hostowanych Instancji Metabase Narażonych przez CVE-2026-72898

Podsumowanie

Krytyczna nieautoryzowana luka w SQL injection w Metabase w wersji 0.58 i nowszych umożliwia atakującym uzyskanie dostępu administracyjnego do bazy danych aplikacji. Ten błąd może umożliwić kradzież poświadczeń połączonych baz danych i ułatwić ruch boczny. Wykorzystanie tej luki zostało już zaobserwowane w środowisku przed jej publicznym ujawnieniem.

Badanie

Zespół TRACE firmy Dataminr przeprowadził skanowanie całego Internetu, identyfikując około 11 000 instancji Metabase hostowanych samodzielnie, w tym 4 309 oznaczonych jako potencjalnie podatne na atak. Przegląd wykazał, że ponad 97% hostów zidentyfikowanych jako dotknięte problemem na odpowiednich gałęziach pozostało niezałatanych. Kilku najemców Metabase Cloud już zgłosiło incydenty nieautoryzowanego dostępu do danych.

Łagodzenie

Organizacje powinny natychmiast zaktualizować samodzielnie hostowane wdrożenia Metabase do najnowszych załatanych wersji dla odpowiednich gałęzi. Jeśli łatanie nie może się odbyć od razu, dostęp zewnętrzny do endpointu /api/session/reset_password powinien zostać ograniczony za pomocą WAF lub kontroli sieciowych. Administratorzy powinni również unieważnić wszystkie aktywne sesje, czyszcząc tabelę core_session.

Reakcja

Po wykryciu organizacje muszą zmienić wszystkie poświadczenia dla baz danych połączonych z Metabase w ciągu 24 godzin. Zespoły ds. bezpieczeństwa powinny przeprowadzić poszukiwanie zagrożeń, przeglądając dzienniki aktywności Metabase, historię zapytań i dzienniki dostępu do połączonych baz danych w poszukiwaniu anormalnych działań administracyjnych. Zespoły muszą również sprawdzić, czy endpoint resetu hasła nadal jest dostępny z niezaufanych sieci.

Wykonanie symulacji

• Narracja ataku i komendy: Atakujący zidentyfikował instancję Metabase działającą na docelowym serwerze sieciowym. Wiedząc, że CVE-2026-72898 umożliwia nieautoryzowaną SQL injection przez przepływ resetu hasła, atakujący tworzy złośliwe żądanie POST. Celem jest wysłanie ładunku do /api/session/reset_password endpointu, który wykorzystuje leżącą pod spodem bazę danych. Działanie to ma na celu uruchomienie reguły detekcji przez trafienie w konkretny URI i metodę zdefiniowaną w logice.

• Skrypt testu regresji:

   #!/bin/bash
    # Skrypt symulacyjny dla próby wykorzystania CVE-2026-72898
    # Cel: Endpoint Metabase /api/session/reset_password
  
    TARGET_URL="http://localhost/api/session/reset_password"
  
    echo "[+] Rozpoczynanie symulowanego ataku SQL injection za pomocą żądania POST..."
  
    # Wysyłanie symulowanego złośliwego ładunku za pomocą POST
    # Ładunek jest reprezentacją próby wstrzyknięcia SQL do przepływu resetu hasła
    curl -X POST "$TARGET_URL" 
         -H "Content-Type: application/json" 
         -d '{"email": "admin@example.com", "new_password": "password''' OR 1=1 --"}'
  
    echo -e "n[+] Wysłano komendę ataku. Sprawdź SIEM w poszukiwaniu detekcji POST /api/session/reset_password"

• Komendy czyszczenia:

   # Komenda curl nie wprowadza trwałych zmian w systemie.
    # Aby wyczyścić logi Nginx w celu uzyskania czystego stanu (używaj ostrożnie w środowisku produkcyjnym):
    # sudo truncate -s 0 /var/log/nginx/access.log
    echo "[+] Czyszczenie zakończone. Brak artefaktów na docelowym systemie."