Metabase SQLi zero-day exploited in customer data-theft attacks

Exploitation active de la faille Zero-Day SQLi dans Metabase

Une vulnérabilité critique d’injection SQL (SQLi) non authentifiée dans Metabase est exploitée activement par des attaquants pour obtenir un accès administrateur sur les instances cibles et exfiltrer des données. Des entreprises comme Framework, Tally et LexisNexis ont confirmé avoir subi des intrusions suite à cette compromission.

Points clés :

• Nature de la faille : Injection SQL permettant à un attaquant distant non authentifié de prendre le contrôle total d’une instance Metabase.
• Impact : Vol de données, modification de la configuration, accès aux bases de données connectées et récupération d’identifiants.
• Versions affectées : 1.58 et supérieures (versions 0.58 à 0.63).
• Statut : Aucun identifiant CVE n’a été attribué, mais le score CVSS est de 10.0 (Critique).

Recommandations :

• Mise à jour immédiate : Appliquer les correctifs vers les versions minimales sécurisées : 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9, ou 0.63.5.
• Mesure d’atténuation temporaire : Bloquer l’accès au point de terminaison /api/session/reset_password si la mise à jour n’est pas réalisable immédiatement.
• Remédiation post-compromission :
  • Révoquer toutes les sessions utilisateurs actives.
  • Réinitialiser les mots de passe et faire tourner les clés API.
  • Renouveler les identifiants de connexion vers les bases de données connectées.
  • Auditer les logs et l’historique des requêtes à la recherche de signes d’intrusion (ex: requêtes POST sur /api/session/reset_password suivies d’un GET sur /api/user/current).

Source