Разработчики платформы бизнес-аналитики Metabase сообщили о критической SQLi-уязвимости, которую злоумышленники уже начали эксплуатировать в атаках. Этот баг позволяет получить права администратора без аутентификации, и от атак уже пострадали клиенты Metabase, включая производителя модульных ноутбуков Framework и платформу для создания онлайн-форм Tally.
Пока уязвимости еще не присвоен идентификатор CVE, но уже известно, что проблема набрала максимальные 10,0 балла по шкале CVSS. Разработчики пишут, что уязвимость позволяет атакующему внедрить произвольный SQL-код в базу данных приложения Metabase, что ведет к получению административного доступа к инстансу. После этого злоумышленник сможет изменить конфигурацию, похитить сохраненные учетные данные для подключенных БД, прочитать доступную через них информацию и экспортировать ее.
В Metabase подчеркивают, что атакующие уже использовали 0-day против облачного сервиса Metabase Cloud. В настоящее время специалисты компании заблокировали задействованные в атаках эндпоинты и выпустили исправление. Также исправления уже получили облачные инстансы, а пользователям self-hosted-версий необходимо установить обновления самостоятельно.
Патчи вышли для всех затронутых веток, и безопасными считаются 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 и 0.63.5. Если по какой-то причине невозможно установить обновления в кратчайшие сроки, разработчики советуют временно заблокировать доступ к /api/session/reset_password.
Кроме того, администраторам рекомендуют завершить все активные пользовательские сессии, проверить API-ключи и учетные записи администраторов, сменить учетные данные подключенных БД, а также изучить логи и историю запросов. Признаком атаки может быть POST-запрос к /api/session/reset_password, получивший ответ с кодом 400, после которого следует успешный GET-запрос к /api/user/current с кодом 200. В Metabase предупреждают, что в случае обнаружения такой последовательности инстанс следует считать скомпрометированным.
Уже известно, что от эксплуатации уязвимости в Metabase пострадала компания Framework. Производитель модульных ноутбуков сообщил, что 6 августа представители Metabase уведомили его об уязвимости и сообщили, что злоумышленники получили доступ к инстансу Framework еще 3 августа. По словам представителей компании, инцидент затронул всех клиентов.
В результате в руки хакеров попали имена, email-адреса, IP-адреса, телефоны, платежные и почтовые адреса. Кроме того, для корпоративных клиентов утечка также может включать название компании, VAT, EIN и платежный email-адрес. При этом информация о заказах и платежах не пострадала.
После получения уведомления от Metabase специалисты Framework сменили учетные данные для всех БД, подключенных к Metabase, а также привлекли стороннюю компанию для расследования инцидента. Признаков доступа к системам за пределами Metabase расследование пока не выявило.
По информации издания Bleeping Computer, об атаке сообщают представители платформы для создания онлайн-форм Tally, чье аналитическое окружение Metabase тоже скомпрометировали 3 августа. В этом случае хакеры добрались до email-адресов пользователей и хешей их паролей, однако формы и отправленные через них ответы хранились отдельно и не пострадали. Однако пока неясно, какой алгоритм использовался для хеширования, и были ли хеши «солеными».
