Metabase svela vulnerabilità zero-day sfruttata in attacchi di furto dati

—

Metabase ha reso noto che un bug zero-day, un’exploit di SQL injection, è stato sfruttato in attacchi di furto dati, con informazioni sensibili di clienti rubate. L’incidente ha interessato diverse aziende, tra cui Framework e Tally, e si è verificato tra il 3 e il 6 agosto 2026. L’azienda ha avvisato che il bug, presente in versioni 1.58 e successive, ha permesso agli attaccanti di ottenere accesso amministrativo ai sistemi dei clienti. Metabase ha già rilasciato patch per correggere la vulnerabilità, ma i clienti che utilizzano l’installazione self-hosted devono applicare le correzioni manualmente.

Informazioni sensibili rubate in attacchi di furto dati

Secondo Metabase, i dati rubati comprendono nomi completi, indirizzi email, IP di accesso, informazioni di fatturazione e spedizione, numeri di telefono e nomi delle aziende. I dati delle forme e delle risposte non sono stati accessi, poiché sono memorizzati separatamente. Framework, un produttore di laptop, ha confermato che i dati dei clienti sono stati compromessi dopo che i criminali hanno accesso al suo ambiente Metabase. Tally, un costruttore di form online, ha avvisato gli utenti che il suo ambiente di analisi Metabase è stato violato il 3 agosto. I dati rubati sono stati ottenuti attraverso un hash crittografico, che non può essere convertito in password originale.

Metabase ha avvertito che i log del sistema mostranti determinate entrate potrebbero essere compromessi. L’azienda ha anche indicato che i test di sicurezza sono fondamentali, poiché le squadre di sicurezza registrano solo il 14% degli attacchi rilevati, mentre il 54% viene registrato dopo che l’attacco è già avvenuto.

Metabase: patch e raccomandazioni per la sicurezza

Metabase ha rilasciato patch per correggere la vulnerabilità in versioni 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 e 0.63.5. L’azienda raccomanda ai clienti self-hosted di aggiornare immediatamente, revocare tutte le sessioni utente attive, verificare le chiavi API e i conti amministratori per modifiche non autorizzate, ruotare le credenziali per i database connessi e ispezionare i log e la storia delle query per segni di compromissione. Per identificare gli attacchi, Metabase ha indicato che è possibile rilevare un attacco attraverso una richiesta POST a /api/session/reset_password che restituisce un codice di stato 400, seguita da una richiesta GET riuscita a /api/user/current. L’azienda ha anche sottolineato che i dati sensibili potrebbero essere stati compromessi, ma non ha confermato se siano stati effettivamente esposti.

Metabase ha avvertito che i clienti che non riescono a aggiornare immediatamente devono bloccare temporaneamente l’endpoint /api/session/reset_password fino all’applicazione dell’aggiornamento. L’azienda ha inoltre raccomandato di ispezionare i log e la storia delle query per segni di compromissione, in quanto i sistemi log potrebbero essere stati compromessi. La vulnerabilità, classificata come critica, ha un punteggio CVSS di 10.0 e non è stata assegnata un identificativo CVE. Metabase ha confermato che la vulnerabilità è stata sfruttata attivamente, con attacchi che hanno permesso agli aggressori di modificare le configurazioni, rubare credenziali e esportare dati.