Uma falha de segurança de gravidade máxima no Metabase foi explorada ativamente como uma zero-day em ataques que permitiram invadir instâncias de clientes e roubar dados, com impacto confirmado na Framework e na Tally.
O Metabase divulgou os ataques na quinta-feira e alertou que sua plataforma SaaS, o Metabase Cloud, foi comprometida por uma vulnerabilidade até então desconhecida que afeta as versões 1.58 e superiores. A empresa afirma que instalações hospedadas pelos próprios clientes também estão vulneráveis.
“Recentemente, identificamos que o Metabase Cloud foi atacado por alguém que utilizava uma vulnerabilidade de segurança desconhecida (‘0-day’) nas versões 1.58 e superiores”, afirmou o CEO do Metabase, Sameer Al-Sakran, em uma publicação no blog da empresa.
A falha, com pontuação CVSS 10,0 e sem identificador CVE, permite que um atacante remoto e sem autenticação injete SQL arbitrário no banco de dados da aplicação Metabase, o que pode, em última instância, levar à obtenção de acesso de administrador à instância. A partir daí, o invasor pode alterar a configuração da aplicação, roubar credenciais armazenadas dos bancos de dados conectados, ler quaisquer dados acessíveis por meio dessas conexões e exportar informações.
O Metabase confirmou que bloqueou os endpoints usados no ataque e lançou imediatamente uma correção para a falha.
“Esta é uma vulnerabilidade CRÍTICA que permite que um invasor remoto e sem autenticação injete SQL arbitrário no banco de dados da aplicação Metabase, o que pode lhe dar acesso de administrador à instância”, diz o aviso de segurança relacionado.
“A partir daí, o invasor poderia alterar a configuração da aplicação, roubar credenciais armazenadas dos bancos de dados conectados, ler quaisquer dados acessíveis por meio dessas conexões e exportar informações. O Metabase confirmou a exploração ativa dessa vulnerabilidade.”
O Metabase está disponível tanto como software para instalação local, em ambientes gerenciados pelas próprias organizações, quanto por meio do Metabase Cloud, sua oferta SaaS gerenciada. As instâncias do Metabase Cloud já foram atualizadas para a versão mais recente, enquanto organizações que operam instalações por conta própria precisam aplicar manualmente os patches liberados pela empresa.
As versões afetadas são as seguintes: >= x.58.0, < x.58.23, corrigido em x.58.24; >= x.59.0, < x.59.20, corrigido em x.59.21; >= x.60.0, < x.60.16, corrigido em x.60.17; >= x.61.0, < x.61.10, corrigido em x.61.11; >= x.62.0, < x.62.8, corrigido em x.62.9; e >= x.63.0, < x.63.3, corrigido em x.63.5.
Como medida temporária até a aplicação das correções, a recomendação é bloquear o endpoint “/api/session/reset_password”. Depois da atualização, clientes que mantêm esse endpoint publicamente acessível devem revogar todas as sessões ativas de usuários, revisar chaves de API e excluir qualquer chave não reconhecida, verificar contas de administrador em busca de alterações inesperadas, trocar as credenciais de quaisquer bancos de dados conectados e inspecionar logs e históricos de consultas em busca de sinais de comprometimento.
A empresa afirma que os ataques podem ser identificados por uma requisição POST para “/api/session/reset_password” que retorna status 400, seguida de uma requisição GET bem-sucedida para “/api/user/current”. O CEO Sameer Al-Sakran disse que, se esse padrão aparecer nos logs da aplicação ou nos logs de entrada do servidor Metabase, é provável que a instância tenha sido comprometida.
“Se você encontrar esse padrão nos logs da sua aplicação ou nos logs de entrada do servidor Metabase, é provável que sua instância tenha sido comprometida”, disse Al-Sakran.
Uma das empresas afetadas foi a Framework, que confirmou o roubo de informações de clientes após invasores comprometerem sua instância do Metabase. Em uma notificação enviada aos clientes e compartilhada com o BleepingComputer, a fabricante de notebooks informou que o incidente permitiu aos invasores acessar nomes completos, endereços de e-mail, IPs de login, dados de endereço de cobrança e entrega, número de telefone e nome da empresa.
No caso dos clientes do Framework for Business, os dados também podem incluir nome da empresa, telefone, VAT, EIN e endereço de e-mail de cobrança. Segundo o Engadget, a Framework informou que nenhuma informação de pedidos ou pagamentos foi acessada.
A Framework informou que o Metabase a notificou em 6 de agosto de que sua instância estava vulnerável ao zero-day e havia sido acessada pelo invasor em 3 de agosto.
A Tally, popular criadora de formulários online, também comunicou aos usuários que seu ambiente analítico no Metabase foi comprometido em 3 de agosto.
“Por meio disso, eles chegaram ao seu endereço de e-mail e à sua senha, na forma de um hash criptográfico. Um hash é de mão única, então não pode ser convertido novamente na sua senha. Eles não acessaram seus formulários nem as respostas enviadas por outras pessoas. Esses dados são armazenados separadamente.”
Segundo o BleepingComputer, a Tally foi questionada sobre qual algoritmo de hash de senhas foi usado e se os hashes expostos estavam com salt, mas não havia respondido até o momento da publicação.
Em um e-mail compartilhado com o BleepingComputer, a LexisNexis informou que foi impactada por um ciberataque em um de seus fornecedores terceirizados. Embora a empresa não tenha dito explicitamente que o caso estava ligado ao Metabase, afirmou que sua API do Metabase foi afetada.
“Estamos escrevendo para fornecer uma atualização sobre a interrupção de serviço que afeta Diligence, Metabase API e Newsdesk”, diz o e-mail da LexisNexis.
“No início desta semana, identificamos atividade incomum em servidores hospedados e gerenciados por um fornecedor terceirizado. Para proteger nossos clientes e conter o problema em sua origem, tomamos a decisão imediata de desconectar esses sistemas de terceiros.”
A LexisNexis informou que tirar os sistemas do ar tornou os aplicativos afetados indisponíveis, mas que a medida era necessária enquanto a empresa investigava o caso. Ainda não está claro se dados de clientes foram expostos durante o ataque, mas a empresa afirma estar trabalhando com uma firma de perícia em cibersegurança para apurar o incidente.
Exatamente três anos atrás, a Metabase correu para corrigir outra falha extremamente grave, identificada como
CVE-2023-38646
e com CVSS 9,8, que poderia ter permitido execução remota de código sem autenticação nas instalações afetadas.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...