Metabaseが、FrameworkとTallyがデータ窃取を報告した後に悪用されたSQLインジェクションの脆弱性を修正した

Why it matters

Metabase can hold the credentials and permissions needed to query connected databases, so one unauthenticated flaw turned an analytics tool into a route to customer records.

Sameer Al-Sakran、Metabaseの創業者兼CEOは8月6日、攻撃者がこれまで知られていなかった脆弱性を利用してMetabase Cloudを攻撃したことを公表し、Metabaseは影響を受けたエンドポイントをブロックし、顧客インスタンスにパッチを適用する必要があったと明らかにした。BleepingComputer reported は8月7日に、ノートパソコンメーカーのFrameworkとフォームビルダーのTallyがそれぞれ自社のMetabase環境からのデータ窃取を確認したと報じた。（Metabase）

この侵害はMetabaseの背後にあるアーキテクチャに影響を及ぼす。Al-SakranはスタートアップスタジオExpaのCTOを務めていた際、Expaの企業に利用可能なビジネスインテリジェンス製品が高価であったり導入が難しかったため、Metabaseの最初のバージョンを作成した。Expaはその内部ツールを独立した企業へと分離し、Al-Sakranが創業者兼CEOとして同社を引き継いだ。Metabaseの創業時の公約は明快だった：従業員はアナリストやエンジニアを待たずに自社データを探索できるべきだ、というものだ。（Expa）

そのアクセスモデルが分析アプリケーションを価値ある標的にしている。Metabaseはユーザーと、企業の業務情報を保持するデータベースやウェアハウスの間に位置する。脆弱性により認証されていない攻撃者がMetabaseアプリケーションのデータベースにSQLを注入し、管理者権限を取得できたと同社のセキュリティ勧告は述べている。管理者は設定を変更し、接続されたデータベースのために保存された資格情報を取得し、それらの接続を通じて利用可能な情報を照会して結果をエクスポートできる。（GitHub）

A password-reset endpoint opened the route to admin access

Metabaseはこの欠陥をCriticalと評価し、CVSSスコアを10.0とし、積極的な悪用を確認した。勧告は8月7日時点でCVE識別子を持っていなかった。（GitHub）

Metabaseは攻撃の可能性が高いパターンを、HTTP 400レスポンスを返すPOSTリクエストを/api/session/reset_passwordに送信した後、/api/user/currentへの成功したGETリクエストが続くものとして特定した。Metabaseは、アプリケーションまたはイングレスのログにそのシーケンスが記録されているインスタンスは侵害されている可能性が高いと述べた。（Metabase）

Metabase Cloudの顧客は既にアップグレード済みだ。セルフホスト型の展開を運用している組織は、修正済みリリースを自らインストールする必要がある。安全な最低バージョンは0.58.24、0.59.21、0.60.17、0.61.11、0.62.9、および0.63.5である。すぐにアップグレードできない管理者は、パスワードリセットのエンドポイントをブロックするようMetabaseは述べた。（Metabase）

パッチを当てることはエントリポイントを閉じるだけだ。Metabaseはさらに、管理者に対してアクティブなセッションの取り消し、APIキーと管理者アカウントの検査、接続されているすべてのデータベースの資格情報のローテーション、ウェアハウスのログとクエリ履歴のレビューを指示した。これらの手順は、インスタンスを掌握した攻撃者が到達し得る範囲を反映している。（Metabase）

Framework and Tally trace exposure to August 3

Frameworkは、同社のMetabaseインスタンスが8月3日にアクセスされたと顧客に通知した。BleepingComputerが確認した通知によると、露出した情報には氏名、メールアドレス、ログインのIPアドレス、請求先および配送先住所、電話番号、会社名が含まれていた。Framework for Businessの顧客に属する記録にはVAT番号、雇用者識別番号、請求先メールアドレスが含まれていた可能性もある。Frameworkは注文および支払い情報は含まれていないと述べた。（BleepingComputer）

Tallyも自社の分析環境の侵害を8月3日と断定した。Tallyによれば、攻撃者はユーザーのメールアドレスとパスワードハッシュを取得したが、フォームと送信された回答は別途保存されており到達されなかった。BleepingComputerが引用した通知はハッシュアルゴリズムを特定しておらず、ハッシュにソルトが付与されているかどうかも明示していなかった。これらの詳細は、露出したハッシュがオフラインでのクラッキング試行にどれだけ耐えられるかを決定する要因である。（BleepingComputer）

LexisNexisは第三者プロバイダーが運用するインフラでの異常な活動を顧客に別途通知し、DiligenceとそのMetabase APIに関する障害を報告した。同社の通知はデータが盗まれたことを立証せず、当該の障害を同じ悪用キャンペーンに結びつける決定的な証拠は提示していない。（BleepingComputer）

確認された被害者は、分析ツールの侵害がダッシュボードの範囲を超えて影響を及ぼし得る理由を示している。企業は通常、Metabaseを顧客、販売、製品、業務のデータベースに接続する。アプリケーション自体がすべての基礎データを保持していない場合でも、保存された接続資格情報が侵入者にそれらのシステムへの経路を与え得る。

Al-Sakran faces a test of the open-source distribution model

Metabaseは、顧客が自社インフラ上にデプロイできるソフトウェアと並んでマネージドクラウドサービスを提供している。公式サイトには10万以上の企業が製品を使用しており、何百万もの人々がそのオープンソース版を利用していると記載されている。これらは同社が報告する数字であり、Metabaseはこのキャンペーンで何件のCloudまたはセルフホストインスタンスがアクセスされたかを公表していない。（Metabase）

分割された配布モデルは、MetabaseがCloud顧客のパッチ適用を管理できる一方で、セルフホストのアップグレードのタイミングは個々の運用者に委ねられることを意味する。Metabaseは2023年7月の重大な認証不要のリモートコード実行の連鎖の後に同じ問題に直面した。ポストモーテムでMetabaseは、同社が管理するサーバーは迅速にパッチを適用できたが、数万のオープンソース利用者に更新を強制する手段はなかったと述べている。（Metabase）

2026年2月に公表された別の脆弱性は、認証済みユーザーが悪意のある通知テンプレートを通じてデータベース接続の詳細を抽出できるものだった。Metabaseは、その欠陥がパッチ公開前に悪用された証拠は見つかっていないと述べた。今回の8月の事件は実質的に異なる：悪用が確認され、Metabase Cloudが攻撃され、顧客がデータ窃取を報告している。（Metabase）

Metabaseは2021年にInsight Partnersがリードし、ExpaとNEAが参加したシリーズBで3,000万ドルの調達を行った。このラウンドにより公表済みの投資総額は4,250万ドルとなり、クラウドおよびエンタープライズ製品の拡大資金が供給された。Al-Sakranは現在、Metabaseの採用を促したアクセスのしやすさを維持しつつ、顧客を最も敏感なデータベースに接続する特権層を強化するという課題に直面している。（PR Newswire)