Una falla critica di tipo SQL injection in Metabase è stata sfruttata in attacchi zero-day, compromettendo dati sensibili di clienti come Framework e Tally. Anche le installazioni self-hosted sono vulnerabili
Una vulnerabilità critica di tipo SQL injection ha colpito Metabase, piattaforma di business intelligence open source e SaaS, consentendo ad attaccanti di accedere senza autenticazione ai dati di clienti e di ottenere privilegi amministrativi. L’attacco, sfruttato come zero-day, ha interessato sia la versione cloud gestita da Metabase sia le installazioni self-hosted dalla release 1.58 in poi.
La società ha confermato che la falla, classificata come critica con punteggio CVSS 10.0, è stata attivamente sfruttata per sottrarre informazioni sensibili. Tra le aziende colpite figurano Framework, produttore di notebook, e Tally, piattaforma per la creazione di moduli online.
Come funziona la vulnerabilità e chi è coinvolto
La falla permette a un attaccante remoto non autenticato di inviare comandi SQL arbitrari al database di Metabase tramite l’endpoint '/api/session/reset_password'. In caso di successo, l’aggressore può ottenere accesso amministrativo, modificare la configurazione dell’applicazione, leggere dati collegati e sottrarre credenziali di database. Metabase ha bloccato gli endpoint coinvolti e rilasciato patch per tutte le versioni vulnerabili, ma avverte che le installazioni self-hosted devono essere aggiornate manualmente.
Le versioni sicure sono: 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 e 0.63.5. Chi non può aggiornare subito dovrebbe bloccare temporaneamente l’accesso all’endpoint vulnerabile. Metabase raccomanda inoltre di revocare tutte le sessioni attive, controllare chiavi API e account amministrativi, ruotare le credenziali dei database collegati e analizzare i log per eventuali compromissioni.
Dati sottratti e impatto sulle aziende
Framework ha confermato che, a seguito della compromissione della propria istanza Metabase, sono stati sottratti dati personali dei clienti, tra cui nome completo, indirizzo email, indirizzi IP di accesso, indirizzi di fatturazione e spedizione, numero di telefono e nome azienda. Per i clienti business, anche dati fiscali come VAT ed EIN. L’accesso non autorizzato è avvenuto il 3 agosto, mentre la notifica è stata ricevuta il 6 agosto.
Anche Tally ha informato gli utenti che l’ambiente analytics basato su Metabase è stato violato lo stesso giorno. Gli attaccanti hanno avuto accesso agli indirizzi email e alle password sotto forma di hash crittografico, ma non ai contenuti dei moduli o alle risposte, che sono archiviati separatamente. Non è stato specificato quale algoritmo di hashing sia stato utilizzato né se le password fossero salate.
Altri casi e raccomandazioni per la sicurezza
LexisNexis ha segnalato ai clienti un attacco informatico che ha coinvolto un fornitore terzo e ha impattato anche l’API Metabase, causando l’interruzione di alcuni servizi. Non è chiaro se dati dei clienti siano stati esposti, ma la società sta collaborando con esperti forensi per chiarire l’accaduto.
Metabase invita tutte le organizzazioni che utilizzano versioni vulnerabili a intervenire tempestivamente. Un segnale di compromissione è la presenza nei log di una richiesta POST all’endpoint '/api/session/reset_password' con risposta 400, seguita da una GET a '/api/user/current' andata a buon fine. In questi casi, è probabile che l’istanza sia stata violata.
La gestione tempestiva degli aggiornamenti di sicurezza e il monitoraggio dei log sono fondamentali per ridurre il rischio di ulteriori compromissioni, soprattutto per le aziende che gestiscono dati sensibili tramite piattaforme di analytics come Metabase.
La vulnerabilità SQLi in Metabase evidenzia come anche strumenti di business intelligence diffusi possano diventare vettori di attacco critici. In Italia, molte PMI e realtà digitali utilizzano soluzioni self-hosted o SaaS per l’analisi dei dati: è quindi essenziale verificare la versione in uso e applicare le patch disponibili. La rapidità di risposta e la revisione delle credenziali di accesso rappresentano misure chiave per limitare i danni in caso di compromissione.
