Metabase bị khai thác lỗ hổng zero-day, có thể chiếm quyền quản trị
"Metabase disclosed a maximum-severity zero-day vulnerability exploited in the wild that lets an unauthenticated attacker inject arbitrary SQL into the application database and gain administrator access. The issue affects multiple Metabase versions and was fixed in patched releases; Metabase Cloud was already updated, while self-hosted users were advised to upgrade immediately and temporarily block the /api/session/reset_password endpoint."
Rủi ro chiếm quyền quản trị và rò rỉ dữ liệu rất cao; lỗ hổng đang bị khai thác ngoài thực tế và ảnh hưởng đến nhiều phiên bản.
Có thể gây gián đoạn vận hành, lộ dữ liệu nhạy cảm và phát sinh chi phí xử lý sự cố; cần nâng cấp khẩn cấp và rà soát toàn bộ truy cập.
Metabase đã xác nhận một lỗ hổng zero-day mức nghiêm trọng cao nhất, đang bị khai thác ngoài thực tế trong Metabase Cloud và các bản self-hosted. Lỗi này cho phép kẻ tấn công từ xa, không cần xác thực, chèn SQL tùy ý vào cơ sở dữ liệu ứng dụng của Metabase, từ đó giành quyền quản trị trên phiên bản bị ảnh hưởng.
Theo khuyến cáo, các bản phát hành bị ảnh hưởng gồm x.58.0 đến x.58.23, x.59.0 đến x.59.20, x.60.0 đến x.60.16, x.61.0 đến x.61.10, x.62.0 đến x.62.8 và x.63.0 đến x.63.3; bản vá tương ứng đã được phát hành. Metabase Cloud đã được cập nhật, còn người dùng tự triển khai cần nâng cấp ngay.
Biện pháp tạm thời được khuyến nghị là chặn endpoint /api/session/reset_password. Sau khi cập nhật, quản trị viên nên thu hồi toàn bộ phiên đăng nhập, kiểm tra API keys, rà soát tài khoản quản trị, xoay vòng thông tin xác thực của các cơ sở dữ liệu kết nối và xem lại nhật ký truy cập để phát hiện hoạt động bất thường.
Dấu hiệu xâm nhập được nêu gồm chuỗi yêu cầu POST /api/session/reset_password trả về 400, sau đó là GET /api/user/current trả về 200. Nếu thấy mẫu này trong log, khả năng cao hệ thống đã bị xâm phạm.