Metabase Zero-Day Exploited in Wild Allows Admin Access Without Authentication

Exploitation active d’une vulnérabilité critique dans Metabase

Une vulnérabilité critique (score CVSS 10.0), sans identifiant CVE, est activement exploitée sur les instances Metabase. Cette faille permet à un attaquant non authentifié d’injecter du code SQL arbitraire, d’obtenir des privilèges d’administrateur, de voler des identifiants et d’exfiltrer des données.

Points clés :

• Impact : Accès administrateur total sans authentification, compromission des bases de données connectées et vol de données clients (ex: incident constaté chez Framework).
• Indicateurs de compromission (IoC) : La séquence de logs POST /api/session/reset_password (400) suivie de GET /api/user/current (200) suggère une intrusion réussie.
• Versions affectées : Les versions x.58.0 à x.63.2 sont vulnérables.

Recommandations :

• Mise à jour immédiate : Appliquer les correctifs publiés par Metabase (versions x.58.24, x.59.21, x.60.17, x.61.11, x.62.9, x.63.5).
• Mesure d’urgence : Bloquer l’accès à l’endpoint /api/session/reset_password en attendant le patch.
• Post-remédiation :
  • Révoquer toutes les sessions utilisateurs actives (table core_session).
  • Auditer et supprimer les clés API suspectes.
  • Réinitialiser les identifiants des bases de données connectées.
  • Vérifier les logs d’activité et d’accès pour détecter toute exfiltration.

Source