在 Framework 和 Tally 报告数据被盗后，Metabase 修补了被利用的 SQL 注入漏洞

Why it matters

Metabase can hold the credentials and permissions needed to query connected databases, so one unauthenticated flaw turned an analytics tool into a route to customer records.

Sameer Al-Sakran，Metabase 的创始人兼 CEO，于 8 月 6 日披露，有攻击者利用一个此前未知的漏洞针对 Metabase Cloud，迫使 Metabase 屏蔽受影响的端点并修补客户实例。BleepingComputer reported 在 8 月 7 日报道，笔记本制造商 Framework 和表单构建器 Tally 已确认其 Metabase 环境发生数据被窃。(Metabase)

这次入侵触及了 Metabase 背后的架构。在担任创业工作室 Expa 的 CTO 时，Al-Sakran 创建了 Metabase 的第一个版本，因为 Expa 的公司可用的商业智能产品要么昂贵，要么难以部署。Expa 将这个内部工具剥离成独立公司，由 Al-Sakran 出任创始人兼 CEO。Metabase 创立时的承诺很简单：员工应该能够在不必等待分析师或工程师的情况下探索公司数据。(Expa)

这种访问模型使得该分析应用成为有价值的目标。Metabase 位于用户与保存公司运营信息的数据库或数据仓库之间。根据公司的 安全公告，该漏洞允许未经认证的攻击者向 Metabase 应用数据库注入 SQL 并获得管理员权限。管理员可以更改配置、检索已存储的连接数据库凭据、查询通过那些连接可访问的信息并导出结果。(GitHub)

密码重置端点打开了通往管理员访问的路径

Metabase 将该漏洞评级为 Critical，CVSS 分数为 10.0，并确认存在主动利用。截至 8 月 7 日，该公告尚无 CVE 标识符。(GitHub)

Metabase 识别出的可能攻击模式为对 /api/session/reset_password 发出的 POST 请求返回 HTTP 400 响应，随后对 /api/user/current 的 GET 请求成功。Metabase 表示，在应用或入口日志中出现该序列的实例很可能已被入侵。(Metabase)

Metabase Cloud 的客户已经被升级。运行自托管部署的组织必须自行安装补丁版本。最低安全版本为 0.58.24、0.59.21、0.60.17、0.61.11、0.62.9 和 0.63.5。Metabase 表示，无法立即升级的管理员应屏蔽密码重置端点。(Metabase)

安装补丁仅关闭了入口点。Metabase 还指示管理员撤销活动会话，检查 API 密钥和管理员账户，轮换每个已连接数据库的凭据，并审查数据仓库日志和查询历史记录。这些步骤反映了攻击者在控制实例后可能获得的访问范围。(Metabase)

Framework 和 Tally 将暴露追溯到 8 月 3 日

Framework 告知客户，其 Metabase 实例在 8 月 3 日被访问。根据 BleepingComputer 审阅的通知，暴露的信息包括姓名、电子邮件地址、登录 IP 地址、账单和收货地址、电话号码以及公司名称。属于 Framework for Business 客户的记录还可能包含增值税号、雇主识别号和账单电子邮件地址。Framework 表示订单和付款信息未被包含。(BleepingComputer)

Tally 也将其分析环境的妥协归于 8 月 3 日。Tally 表示攻击者获取了用户的电子邮件地址和密码哈希，其表单及提交的答案是单独存储的，未被触及。BleepingComputer 引用的通知未指明使用的哈希算法，也未说明这些哈希是否加盐，而这些细节决定了被暴露的哈希在离线破解尝试中的抗性。(BleepingComputer)

LexisNexis 则另行通知客户其由第三方提供商运营的基础设施上出现异常活动，并报告了涉及 Diligence 及其 Metabase API 的中断。其通知并未确认数据被窃，也未能将该中断确凿地归因于同一利用活动。(BleepingComputer)

已确认的受害者显示了为何分析系统的泄露可能超出仪表板的影响范围。公司通常将 Metabase 连接到客户、销售、产品和运营数据库。即便应用本身并不保存每条底层记录，已存储的连接凭据也可能为入侵者打开进入这些系统的通路。

Al-Sakran 面临开源分发模型的考验

Metabase 在提供可由客户部署到自身基础设施的软件的同时，也提供托管云服务。其网站称超过 100,000 家公司使用该产品，并有数百万用户使用其开源版本。这些数字为公司自报，Metabase 尚未说明在此次攻击活动中有多少 Cloud 或自托管实例被访问。(Metabase)

这种分拆的分发模型使 Metabase 能够控制对 Cloud 客户的补丁部署，同时将自托管升级的时机留给各个运营方。Metabase 在 2023 年 7 月遭遇一起严重的未认证远程代码执行链后也面临相同问题。在其事后分析中，Metabase 表示它能迅速修补其管理的服务器，但无法强制数以万计的开源用户更新。(Metabase)

另一个在 2026 年 2 月披露的漏洞允许经过认证的用户通过恶意通知模板提取数据库连接详情。Metabase 表示在发布补丁之前未发现该漏洞被利用的证据。本次 8 月 的事件有实质性不同：利用已被确认，Metabase Cloud 遭到攻击，且客户报告了数据被窃。(Metabase)

Metabase 在 2021 年完成由 Insight Partners 领投的 3,000 万美元 Series B， Expa 和 NEA 参与。本轮融资使其已披露的投入资本达到 4,250 万美元，并为云和企业产品的扩张提供了资金。Al-Sakran 现在必须在保持推动 Metabase 被采纳的可访问性与收紧连接客户及其最敏感数据库的特权层之间取得平衡。(PR Newswire)