Metabase zero-day SQLi sfruttato in attacchi di furto dati

—

Metabase ha rivelato che una vulnerabilità zero-day di tipo SQL injection è stata sfruttata in attacchi di furto dati, con incidenti registrati a partire dal 3 agosto. L’azienda ha avvisato che il problema colpisce le sue installazioni self-hosted e il suo servizio SaaS Metabase Cloud, con attacchi che hanno permesso agli aggressori di accedere a informazioni sensibili dei clienti. L’incidente ha interessato aziende come Framework e Tally, con dati come nomi, indirizzi email, numeri di telefono e informazioni di fatturazione rubati. Metabase ha messo in atto misure di sicurezza e ha fornito istruzioni per l’aggiornamento e la protezione dei sistemi.

Attacco zero-day sfruttato per rubare dati sensibili

La vulnerabilità, classificata come critica, permette a un attaccante non autenticato di iniettare codice SQL e ottenere accesso amministrativo a un’istanza di Metabase. L’azienda ha confermato che il problema è stato sfruttato attivamente e ha fornito patch per le versioni interessate, tra cui 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 e 0.63.5. Gli utenti self-hosted devono applicare le patch manualmente, mentre i clienti di Metabase Cloud hanno già ricevuto l’aggiornamento. Metabase ha anche indicato come riconoscere un attacco, attraverso richieste HTTP specifiche che segnalano un accesso non autorizzato.

Le informazioni rubate e i limiti del furto

I dati compromessi comprendono nomi completi, indirizzi email, IP di accesso, informazioni di fatturazione e spedizione, numeri di telefono e nomi delle aziende. Tuttavia, le forme e le risposte inviate non sono state accessibili agli attaccanti, poiché sono memorizzate separatamente. Metabase ha spiegato che le password sono state rubate come hash, non come testo chiaro, e che non possono essere convertite in password originali. La società ha anche avvertito che i log del sistema potrebbero indicare un accesso non autorizzato, ma non ha fornito dettagli sul tipo di algoritmo utilizzato per la crittografia.

La società ha inoltre riferito che il furto di dati potrebbe essere collegato a un attacco su un fornitore terzo, come nel caso di LexisNexis, che ha interrotto i sistemi per proteggere i clienti. Non è chiaro se i dati siano stati esposti, ma la società sta collaborando con un’azienda di cybersecurity per indagare. Metabase ha raccomandato agli utenti di verificare i log e di revocare le sessioni attive per garantire la sicurezza.

Metabase ha sottolineato che il 54% degli attacchi riusciti non vengono rilevati dai team di sicurezza, mentre solo il 14% viene segnalato. Questo sottolinea l’importanza di testare ogni livello di sicurezza prima che gli attaccanti possano agire. L’azienda ha fornito una serie di misure per mitigare i rischi, tra cui l’aggiornamento delle versioni, la revoca delle sessioni utente e la revisione delle chiavi API. Gli utenti devono anche verificare le credenziali dei database collegati e controllare i log per eventuali segni di compromissione. Il caso di Metabase rappresenta un esempio di come le vulnerabilità zero-day possano essere sfruttate per rubare dati sensibili, evidenziando la necessità di un approccio proattivo alla sicurezza informatica. L’azienda ha messo in atto misure di sicurezza e ha fornito supporto ai clienti, ma la protezione continua a dipendere dall’azione degli utenti e dall’implementazione delle patch disponibili.