Metabase hat dringende Sicherheits-Patches für eine kritische Metabase SQL-Injection-Schwachstelle veröffentlicht. Laut Hersteller wurde die Lücke bereits in der Praxis als Zero-Day missbraucht – also bevor eine reguläre Kennzeichnung mit CVE erfolgt war. Für Betreiber ist das besonders heikel, weil Angreifer dabei ohne Authentifizierung aus der Ferne weitreichende Aktionen durchführen können.
Wenn Sie Metabase nutzen (insbesondere im Self-Hosting), sollten Sie die Updates so schnell wie möglich einspielen und die empfohlenen Notfallmaßnahmen prüfen. Im Folgenden fassen wir zusammen, was genau passiert, wie Sie sich absichern und worauf Sie in Logs achten können.
Was ist bei der Metabase SQL-Injection passiert?
Die von Metabase veröffentlichte Schwachstelle ermöglicht es externen, nicht authentifizierten Angreifern, beliebige SQL-Abfragen in der Metabase-Instanz einzuschleusen. Dadurch können sie die zugrunde liegende Datenbank beeinflussen und anschließend administrative Zugriffsmöglichkeiten erlangen.
In der Sicherheitsmitteilung beschreibt Metabase, dass ein Angreifer danach unter anderem:
- die Konfiguration der Anwendung verändern kann
- gespeicherte Zugangsdaten für angebundene Datenbanken stehlen kann
- auf beliebige Daten zugreifen kann, die über die Verbindungen erreichbar sind
- Daten exportieren kann
Damit ist das Risiko nicht nur technisch, sondern auch organisatorisch: Je nachdem, welche Datenquellen und Berechtigungen in Ihrer Umgebung angebunden sind, kann der Schaden deutlich über Metabase hinausgehen.
Wo wurde die Schwachstelle bereits ausgenutzt?
Metabase berichtet, die Lücke sei nach Herstellerangaben nach ihrer Entdeckung in einem Angriff als Zero-Day genutzt worden. Dabei ging es um eine Threat-Actor-Aktivität gegen Metabase Cloud.
Wichtig ist: Metabase Cloud-Instanzen wurden bereits aktualisiert und gepatcht. Für Nutzer mit Self-Hosting gilt jedoch: Sie müssen die Fixes selbst zeitnah einspielen, um eine Exposition zu vermeiden.
Update-Empfehlung: Welche Versionen sind betroffen?
Metabase nennt konkrete Versionen, in denen die erforderlichen Patches noch nicht enthalten sind. Die betroffenen/maßgeblichen Versionen sind:
- 63.5
- 62.9
- 61.11
- 60.17
- 59.21
- 58.24
Wenn Ihre Metabase-Installation in einem dieser Versionen läuft, sollten Sie umgehend auf eine gepatchte Version aktualisieren, sobald diese in Ihrem Update-Zyklus verfügbar ist.
Wenn Patching nicht sofort möglich ist: Temporärer Workaround
Kann ein Patch in Ihrem Betrieb nicht kurzfristig umgesetzt werden, empfiehlt Metabase als vorübergehende Maßnahme, den Endpunkt
/api/session/reset_password
zu blockieren.
Für Unternehmen bedeutet das in der Praxis: Prüfen Sie, ob dieser Pfad über das Internet erreichbar ist. Falls ja, reduzieren Sie die Angriffsfläche, indem Sie den Zugriff auf diesen Endpunkt entsprechend sperren (z. B. auf Ebene Ihres Reverse Proxys, Load Balancers oder der Firewall- bzw. WAF-Regeln).
Ganz wichtig nach dem Patch: Sessions widerrufen und weitere Checks
Metabase empfiehlt nach dem Einspielen der Patches eine Reihe von Folgehandlungen. Das Ziel: mögliche Spuren eines kompromittierten Zugriffs schnell abfangen und zukünftige Angriffe verhindern.
Wenn der betreffende Endpunkt zuvor aus dem Internet erreichbar war, gehen Sie idealerweise wie folgt vor:
- Patches installieren
- alle aktiven Benutzer-Sessions widerrufen (damit gestohlene oder missbrauchte Sitzungen nicht weiter genutzt werden können)
- API-Keys prüfen und alle nicht erkannten Schlüssel löschen
- administrative Konten prüfen (Benutzer mit Admin-Rechten, unerwartete Änderungen, neue Accounts)
- Zugangsdaten für alle verbundenen Datenbanken rotieren
- Logs und Metabase-Aktivitäten prüfen auf verdächtige Zugriffe
Diese Schritte sind entscheidend, weil die Schwachstelle nicht nur Metabase selbst betrifft, sondern auch die Verbindung zu Ihren Datenquellen.
Wie erkennen Sie einen möglichen Kompromiss in den Logs?
Zur Identifikation möglicher Kompromittierungen nennt Metabase ein bestimmtes Muster, auf das Sie achten können. Gesucht werden typischerweise zwei aufeinanderfolgende Aufrufe:
- Ein „POST /api/session/reset_password“ mit einem „400“-Statuscode
- darauf folgt ein „GET /api/user/current“ mit einem „200“-Statuscode
Wenn Sie dieses Muster sowohl in Ihren Anwendungslogs als auch in den Ingress-Logs Ihres Metabase-Servers finden, ist laut Metabase davon auszugehen, dass Ihre Instanz kompromittiert sein könnte.
Nutzen Sie diese Log-Signatur als konkrete Suchanfrage in Ihrem SIEM, in Ihrem Log-Viewer oder in zentralen Monitoring-Tools. Je schneller Sie das nach einem Patch-Update prüfen, desto eher können Sie weitere Folgeschäden verhindern.
Warum diese Schwachstelle so kritisch ist
Der Kern der Gefahr liegt in drei Punkten: Fernzugriff, keine Authentifizierung und SQL-Injection mit weitreichenden Konsequenzen. Dadurch kann ein Angreifer aus einer externen Quelle direkt in die Datenebene eingreifen.
Hinzu kommt, dass Metabase-Anwendungen typischerweise mit Unternehmensdatenbanken verbunden sind. Wenn Zugangsdaten für diese Verbindungen kompromittiert werden, reicht ein reines Metabase-Update allein möglicherweise nicht aus. Deshalb sind Session-Revokation, Credential-Rotation und Log-Review so stark betont.
Praktische Checkliste für Betreiber
Damit Sie nichts übersehen, hier eine kompakte Reihenfolge, die sich in der Praxis bewährt:
- Version prüfen und verifizieren, ob Sie eine betroffene Metabase-Version einsetzen.
- Patch einspielen und den Status Ihrer Deployment-Pipelines dokumentieren.
- Falls Endpunkte aus dem Internet erreichbar waren: Sessions widerrufen.
- API-Keys und Admin-Konten überprüfen und unbekannte Einträge entfernen.
- Zugangsdaten für alle angebundenen Datenbanken rotieren.
- Logs durchsuchen nach dem von Metabase beschriebenen Muster (POST mit 400, danach GET mit 200).
- Nach Abschluss: die weitere Metabase-Aktivität beobachten und verdächtige Zugriffe nachverfolgen.
Fazit
Die Meldung von Metabase zur Metabase SQL-Injection ist ein klarer Hinweis, dass es sich um eine ernste Sicherheitslücke handelt, die bereits als Zero-Day missbraucht wurde. Auch wenn Metabase Cloud bereits aktualisiert hat, sollten Self-Hosting-Betreiber jetzt handeln: patchen, den kritischen Endpunkt bei Bedarf blockieren und anschließend Sessions, API-Keys, Admin-Rechte, Datenbank-Zugangsdaten und Logs gezielt prüfen.
Wenn Sie die empfohlenen Schritte zügig umsetzen, reduzieren Sie das Risiko eines anhaltenden oder wiederholten Missbrauchs deutlich.
Quelle: https://www.securityweek.com/metabase-patches-vulnerability-exploited-as-zero-day/
