Milhares de Instâncias Self-Hosted do Metabase Expostas pelo CVE-2026-72898

Resumo

Uma vulnerabilidade crítica de injeção de SQL sem autenticação nas versões 0.58 e posteriores do Metabase permite que atacantes obtenham acesso de administrador ao banco de dados da aplicação. Esta falha pode permitir o roubo de credenciais de bancos de dados conectados e pode facilitar o movimento lateral. A exploração já foi observada em campo antes da divulgação pública.

Investigação

A equipe TRACE da Dataminr conduziu uma varredura em toda a internet identificando aproximadamente 11.000 instâncias de Metabase autogeridas, incluindo 4.309 marcadas como potencialmente vulneráveis. A revisão encontrou que mais de 97% dos hosts identificados em ramificações afetadas permanecem sem patch. Vários inquilinos do Metabase Cloud já divulgaram incidentes de acesso não autorizado a dados.

Mitigação

As organizações devem atualizar imediatamente as implantações de Metabase autogeridas para as versões mais recentes corrigidas para suas respectivas ramificações. Se a correção não puder ser feita imediatamente, o acesso externo ao endpoint /api/session/reset_password deve ser restringido via WAF ou controles de rede. Os administradores também devem revogar todas as sessões ativas limpando a tabela core_session.

Resposta

Após a detecção, as organizações devem rotacionar todas as credenciais para bancos de dados conectados ao Metabase dentro de 24 horas. As equipes de segurança devem realizar caça a ameaças revisando os logs de atividades do Metabase, histórico de consultas e logs de acesso de bancos de dados conectados para ações administrativas anômalas. As equipes também devem validar se o endpoint de redefinição de senha ainda está acessível a partir de redes não confiáveis.

Execução da Simulação

• Narrativa do Ataque & Comandos: O atacante identificou uma instância do Metabase rodando no servidor web alvo. Sabendo que o CVE-2026-72898 permite injeção de SQL sem autenticação via o fluxo de redefinição de senha, o atacante elabora uma solicitação POST maliciosa. O objetivo é enviar uma carga para o /api/session/reset_password endpoint que explora o banco de dados subjacente. Esta ação é projetada para acionar a regra de detecção acessando a URI e o método específicos definidos na lógica.

• Script de Teste de Regressão:

   #!/bin/bash
    # Script de simulação para tentativa de exploração do CVE-2026-72898
    # Alvo: endpoint Metabase /api/session/reset_password
  
    TARGET_URL="http://localhost/api/session/reset_password"
  
    echo "[+] Iniciando ataque simulado de injeção de SQL via solicitação POST..."
  
    # Enviando uma carga maliciosa simulada via POST
    # A carga é representativa de uma tentativa de injetar SQL no fluxo de redefinição de senha
    curl -X POST "$TARGET_URL" 
         -H "Content-Type: application/json" 
         -d '{"email": "admin@example.com", "new_password": "password''' OR 1=1 --"}'
  
    echo -e "n[+] Comando de ataque enviado. Verifique o SIEM para detecção de POST /api/session/reset_password"

• Comandos de Limpeza:

   # Nenhuma alteração permanente é feita no sistema pelo comando curl.
    # Para limpar os logs do Nginx para um estado limpo (use com cautela em produção):
    # sudo truncate -s 0 /var/log/nginx/access.log
    echo "[+] Limpeza concluída. Nenhum artefato deixado no sistema alvo."