Metabase zero-day SQLi vulnerabilità sfruttata in attacchi di furto dati
Metabase ha rivelato che una vulnerabilità zero-day SQLi è stata sfruttata per rubare dati clienti, con attacchi registrati a partire dal 3 agosto 2026.
Metabase, piattaforma di analisi dati, ha rivelato che una vulnerabilità zero-day di tipo SQL injection è stata sfruttata per compiere attacchi di furto dati. L’incidente, segnalato il 6 agosto 2026, ha interessato diversi clienti, tra cui Framework e Tally, con accesso al sistema avvenuto il 3 agosto. La vulnerabilità, classificata come critica, permette a un attaccante non autenticato di eseguire query SQL arbitrarie, ottenendo accesso amministrativo e rubando informazioni sensibili. Metabase ha già rilasciato patch per correggerla, ma i clienti self-hosted devono applicarle manualmente.
Attacchi di furto dati e dati rubati
La vulnerabilità ha permesso agli attaccanti di accedere a informazioni personali, tra cui nomi completi, indirizzi email, IP di login, dati di fatturazione e spedizione, numeri di telefono e nomi delle aziende. I dati delle forme e delle risposte non sono stati accessi, poiché sono memorizzati separatamente. Metabase ha avvertito che i log del sistema potrebbero indicare un accesso non autorizzato, con segni di compromissione.
La vulnerabilità SQLi è stata sfruttata per rubare dati sensibili, con accesso al sistema avvenuto il 3 agosto.
Le misure di sicurezza raccomandate
Metabase ha fornito una serie di raccomandazioni per i clienti self-hosted, tra cui l’aggiornamento immediato al versione sicura, la revoca di tutti i sessioni utente attivi, la revisione delle chiavi API e degli account amministratori, la rotazione delle credenziali per i database connessi e l’analisi dei log e della storia delle query. Inoltre, i clienti devono verificare eventuali modifiche non autorizzate e bloccare temporaneamente l’endpoint ‘/api/session/reset_password’ finché non applicano l’aggiornamento. Le patch sono disponibili per le versioni 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 e 0.63.5. Metabase ha confermato che l’attacco è stato attivamente sfruttato, con segni di compromissione nei log del sistema. La società ha anche fornito un criterio per identificare gli attacchi, basato su richieste HTTP specifiche.
Le conseguenze e le risposte dei clienti
Framework, un produttore di laptop, ha confermato che i dati dei clienti sono stati rubati dopo che i suoi sistemi Metabase sono stati compromessi. Tally, un costruttore di form online, ha notificato agli utenti che il suo ambiente di analisi Metabase è stato violato il 3 agosto. I dati rubati includono informazioni personali, ma non le risposte alle forme. LexisNexis, un’azienda di servizi legali, ha segnalato un attacco a un fornitore terzo, con conseguenti interruzioni di servizio, ma non ha confermato se i dati dei clienti siano stati esposti.
- Metabase ha rilasciato patch per la vulnerabilità SQLi.
- I clienti self-hosted devono applicare le patch manualmente.
- Le risposte alle forme non sono state accessate.
- LexisNexis ha interrotto la connessione con i sistemi terzi.
Secondo un rapporto di Picus, le squadre di sicurezza registrano il 54% degli attacchi riusciti ma segnalano solo il 14%. Questo sottolinea l’importanza di testare ogni livello di sicurezza prima che gli attaccanti lo facciano. Metabase ha fornito un’indicazione chiara per identificare gli attacchi, ma i clienti devono rimanere vigilanti e applicare le patch il prima possibile per evitare ulteriori danni.