LONDON (IT BOLTWISE) – Metabase warnt vor einer maximal kritischen Zero-Day-Schwachstelle mit CVSS 10,0, die bereits aktiv ausgenutzt wird. Ein Angreifer kann ohne Anmeldung beliebiges SQL in die Metabase-Datenbank einspeisen und so Administratorrechte für die betroffene Instanz erlangen. Die Lücke betrifft mehrere Versionen, während Metabase Cloud bereits auf die aktuelle Version aktualisiert wurde. Für Self-Hosting empfiehlt der Hersteller, Patches sofort einzuspielen und als Übergangslösung den Endpoint zur Passwort-Rücksetzung zu blockieren.
Metabase hat eine Schwachstelle mit maximaler Kritikalität gemeldet, die in der Praxis bereits ausgenutzt wird: Laut Hersteller handelt es sich um ein Zero-Day-Risiko mit CVSS 10,0, das in manchen Metabase-Versionen ohne zugehörige CVE-ID (also ohne öffentlichen CVE-Eintrag) arbeitet. Im Kern geht es um eine nicht authentifizierte, entfernte Angriffsoberfläche, über die ein Täter beliebiges SQL in die Anwendungsdatenbank einspeisen kann. Genau diese Fähigkeit reicht in der Metabase-Architektur aus, um weit mehr als nur Daten zu lesen: Der Angreifer gewinnt Administratorzugriff auf die Instanz und kann damit Konfigurationen ändern, gespeicherte Zugangsdaten für angebundene Datenbanken übernehmen sowie Daten auslesen und exportieren.
Technisch betrachtet ist der entscheidende Punkt nicht nur „SQL Injection“ als Schlagwort, sondern der direkte Weg von einer externen Anfrage zu privilegierten Datenbankoperationen. Wenn unautorisierter Remote-Zugriff auf Mechanismen gelingt, die normalerweise nur nach erfolgreicher Authentifizierung ausgeführt werden, dann kippt der Sicherheitsumfang von „Datenleck“ zu „vollständige Systemübernahme“. Für Betreiber bedeutet das: Selbst wenn das eigentliche Metabase-Frontend nur begrenzt sichtbar ist, genügt ein angreifbarer API-Zugriff, um intern gefährliche Aktionen anzustoßen. Laut Metabase ist das Risiko in Versionen ab 1.58 relevant; „in the wild“ heißt hier, dass die Angriffe nicht nur theoretisch befürchtet werden, sondern bereits erfolgreich gelaufen sind.
Aus der Versionsabdeckung lässt sich konkret ableiten, wie dringend das Patchen ist. Metabase nennt betroffene Zeitfenster und die jeweils fixierten Stände: Betroffen sind unter anderem Versionen „>= x.58.0, < x.58.23“ (Fix in x.58.24), „>= x.59.0, < x.59.20“ (Fix in x.59.21) sowie „>= x.60.0, < x.60.16“ (Fix in x.60.17). Danach setzt sich das Muster fort: „>= x.61.0, < x.61.10“ (Fix in x.61.11), „>= x.62.0, < x.62.8“ (Fix in x.62.9) und schließlich „>= x.63.0, < x.63.3“ (Fix in x.63.5). Parallel dazu meldet der Hersteller, dass Metabase Cloud bereits auf die aktuelle Version aktualisiert wurde; das reduziert das Risiko für gehostete Instanzen, verlagert die Verantwortung aber klar in Richtung Self-Hosting und Integrationsumgebungen.
Für einen schnellen Zwischenstopp nennt Metabase eine pragmatische Übergangslösung, die nicht die eigentliche Schwachstelle behebt, aber den Angriffspfad unterbricht: Bis die Fixes eingespielt sind, sollten Betreiber den Endpoint „/api/session/reset_password“ blockieren. Wenn anschließend Updates durchgeführt werden, empfiehlt der Hersteller zusätzliche Incident-Response-Schritte, weil ein Angreifer mit Administratorrechten nicht nur passiv agieren kann. Dazu gehört das Widerrufen aktiver Benutzer-Sessions, indem man in der Metabase Application Database alle Zeilen in der „core_session“-Tabelle löscht. Außerdem sollten API-Keys überprüft und nicht erkannte Keys entfernt werden, Administrator-Accounts auf unerwartete Änderungen kontrolliert, sowie die Zugangsdaten aller verbundenen Datenbanken rotiert werden. Ergänzend wird zu einer Überprüfung von Data-Warehouse-Logs und Metabase-Aktivitäts- sowie Query-Historie auf Anzeichen unautorisierter Zugriffe und ungewöhnlicher Abfragen geraten.
Als Indikatoren für eine Kompromittierung (IoCs) liefert Metabase ein eindeutiges Muster in den Logs: Erst eine Anfrage auf „POST /api/session/reset_password“ mit Statuscode 400, direkt gefolgt von „GET /api/user/current“ mit Statuscode 200. Wenn genau dieses Sequenzmuster in Anwendungsprotokollen oder in den Ingress-Logs des Metabase-Servers sichtbar wird, ist laut Hersteller „wahrscheinlich“ davon auszugehen, dass die Instanz kompromittiert wurde. Der CEO Sameer Al-Sakran hat dazu wörtlich erklärt: „We recently identified that Metabase Cloud was attacked by someone utilizing an unknown (‘0-day’) security vulnerability in versions 1.58 and above, “ und außerdem: „If you find that pattern in your application logs or in your Metabase server ingress logs, it is likely that your instance has been compromised.“ Gerade dieses Duo aus Log-Statuscodes und Pfadnamen ist in der Praxis wertvoll, weil es die Suche in umfangreichen Logbeständen deutlich eingrenzt.
Auch ein konkreter Betroffener wird genannt: Berichten zufolge soll das PC-Unternehmen Framework im Zuge des Angriffs auf Metabase auch Zugriff auf Kundendaten erhalten haben, darunter Kundennamen, Login-IPs, Adressen, Telefonnummern und E-Mail-Adressen. Laut den Angaben hieß das zugleich, dass keine Bestell- oder Zahlungsinformationen ausgelesen worden seien. Für Betreiber ist das trotz fehlender technischer Details vor allem eine Warnung in Richtung Datenklassifizierung: Metabase wird in Unternehmen häufig als Analyse- und Reporting-Schicht genutzt, sodass es genau die Art personenbezogener oder geschäftskritischer Daten berühren kann, die in Vorfällen schnell eskalieren. Wenn Angreifer Metadaten, Credentials oder Verbindungsstrings kompromittieren, kann der eigentliche Schaden dann auch außerhalb von Metabase entstehen, etwa über Datenbanken oder Data Warehouses, die für Analysten gerade als „Quelle der Wahrheit“ gelten.
Historisch ist der Fall auch deshalb besonders belastend, weil Metabase bereits vor genau drei Jahren eine „extrem schwere“ Schwachstelle adressiert hatte (CVE-2023-38646, CVSS 9.8). Damals ging es laut Hersteller um die Möglichkeit von Remote Code Execution vor der Authentifizierung auf betroffenen Installationen. Dass ein weiterer, diesmal maximal kritischer Pfad nun „wild“ aktiv ausgenutzt wird, zeigt ein wiederkehrendes Muster in der Security-Praxis: Nicht nur die konkrete Schwachstelle zählt, sondern auch die Angriffsoberflächen, die für Integrationsfälle und Admin-Funktionen geöffnet sind. Für IT-Leiter bedeutet das, dass Sicherheitsmaßnahmen rund um BI- und Analytics-Plattformen nicht bei der Authentifizierung enden sollten: Netzwerksegmentierung, rollenbasierte Zugriffskonzepte, strikte API-Exposition und konsequentes Patch-Management müssen zusammenpassen, damit einzelne Bugs nicht in vollständige Übernahmen münden.
In der Gegenwart ist die wichtigste Management-Frage daher nicht „ob“ ein Patch kommt, sondern „wie schnell“ er über Self-Hosting, CI/CD und Freigabeprozesse bei allen Instanzen landet. Wer Metabase produktiv nutzt, sollte heute schon mit einer schnellen Zustandsbewertung starten: Version prüfen, betroffene Builds identifizieren, Logmuster nach IoCs suchen und die in der Anleitung genannten Schritte zur Session- und Credential-Rotation planen. Danach lohnt sich auch ein Blick auf das Setup der Datenbankverbindungen: Wenn Metabase-Credentials so hinterlegt sind, dass ein Angreifer damit direkt lesenden und exportierenden Zugriff auf existierende Datenquellen bekommt, verschiebt sich die Schadenshöhe massiv. Genau darin liegt die wirtschaftliche Relevanz des Vorfalls, weil die Plattform als Kontrollpunkt für viele Datenflüsse fungiert und damit die Auswirkungen eines einzelnen Exploits über mehrere Systeme hinweg „durchschlagen“ können.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Metabase-Zero-Day: Unauthentifizierter SQL-Angriff verschafft Adminrechte" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Metabase-Zero-Day: Unauthentifizierter SQL-Angriff verschafft Adminrechte" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Metabase-Zero-Day: Unauthentifizierter SQL-Angriff verschafft Adminrechte« bei Google Deutschland suchen, bei Bing oder Google News!