Metabase hat vor einer Zero-Day-Sicherheitslücke mit maximaler Kritikalität gewarnt, die bereits in freier Wildbahn ausgenutzt wird. Dabei können Angreifer ohne Anmeldung über das Internet eine Schwachstelle nutzen, um beliebiges SQL in der Metabase-Datenbank auszuführen – und anschließend Administratorrechte auf der betroffenen Instanz zu erlangen.
Die Nachricht ist besonders brisant, weil die Lücke laut Mitteilung keinen eindeutigen CVE-Bezeichner besitzt und der Schweregrad mit CVSS 10.0 bewertet wurde. Wer Metabase selbst hostet, sollte die verfügbaren Updates umgehend installieren. Cloud-Instanzen wurden dagegen bereits auf die neueste Version aktualisiert.
Was der Metabase Zero-Day ermöglicht
Nach Angaben von Metabase betrifft die Schwachstelle die Business-Intelligence- und Datenvisualisierungssoftware. Der Kernpunkt: Ein unauthentifizierter Angreifer kann aus der Ferne SQL-Anweisungen in die Anwendungsdatenbank injizieren.
Durch diesen Zugriff wird das System so weit unter Kontrolle gebracht, dass der Angreifer anschließend die Konfiguration der Anwendung ändern kann. Zusätzlich kann er gespeicherte Zugangsdaten der verbundenen Datenbanken auslesen, alle Daten übernehmen, auf die Metabase über diese Verbindungen zugreifen kann, und Inhalte exportieren.
Welche Versionen betroffen sind
Metabase listet mehrere betroffene Versionen und die jeweils fixen Releases auf. Vereinfacht gilt:
- >= x.58.0, < x.58.23 (Fix in x.58.24)
- >= x.59.0, < x.59.20 (Fix in x.59.21)
- >= x.60.0, < x.60.16 (Fix in x.60.17)
- >= x.61.0, < x.61.10 (Fix in x.61.11)
- >= x.62.0, < x.62.8 (Fix in x.62.9)
- >= x.63.0, < x.63.3 (Fix in x.63.5)
Wenn Sie eine der genannten Versionen betreiben, sollten Sie nicht abwarten. Metabase empfiehlt explizit, Security-Patches sofort zu installieren, sobald sie verfügbar sind.
Warum das für Angreifer so wertvoll ist
Ein besonders gefährliches Detail ist der Weg zum Adminzugriff: Der Angriff startet ohne Authentifizierung. Das senkt die Hürde deutlich, weil Angreifer keine kompromittierten Konten oder gestohlenen Logins benötigen müssen, um die Schwachstelle auszunutzen.
Wenn Adminrechte einmal vorhanden sind, steigt auch die Reichweite des Schadens. Denn mit den erhöhten Privilegien kann ein Angreifer nicht nur Daten lesen, sondern auch Konfigurationen verändern, Credentials abgreifen und Exporte anstoßen. Damit wird aus einer reinen Softwarelücke sehr schnell ein umfassendes Sicherheitsereignis.
Temporäre Maßnahme: Passwort-Reset-Endpunkt blockieren
Bis die Fixes eingespielt sind, nennt Metabase einen provisorischen Workaround. Nutzer sollen den Endpunkt „/api/session/reset_password“ blockieren. So soll verhindert werden, dass Angriffsversuche über diese Schnittstelle erfolgreich zum nächsten Schritt gelangen.
Diese Maßnahme ist ausdrücklich als Übergang gedacht. Der eigentliche Schutz entsteht durch das Aktualisieren der betroffenen Metabase-Versionen.
Wenn der Angriff bereits stattgefunden hat: empfohlene Sofortschritte
Nach dem Update, insbesondere wenn der Endpunkt „/api/session/reset_password“ öffentlich erreichbar war, empfiehlt Metabase eine Reihe von Maßnahmen. Die Punkte zielen darauf ab, mögliche Hintertüren zu entfernen und Spuren verdächtiger Aktivitäten zu beseitigen.
- Aktive Sessions widerrufen: Dazu sollen im Metabase Application Database alle Zeilen in der core_session-Tabelle gelöscht werden.
- API-Keys prüfen: Unbekannte oder nicht zuordenbare Schlüssel löschen.
- Administrator-Konten überprüfen: Achten Sie auf unerwartete Änderungen oder neu angelegte Admin-Accounts.
- Credentials rotieren: Rollen Sie die Zugangsdaten der verbundenen Datenbanken neu.
- Data-Warehouse-Logs kontrollieren: Prüfen Sie nach Anzeichen unautorisierter Zugriffe.
- Metabase-Aktivität und Query-History prüfen: Suchen Sie nach unerwarteten Aktionen oder nicht autorisierten Abfragen.
Auch wenn Metabase keine Details zum konkreten Vorgehen der Täter veröffentlicht hat, zeigen die empfohlenen Schritte, dass die Angriffsfolgen über das reine Auslesen hinausgehen können.
Indicators of Compromise: So erkennt man typische Muster
Metabase hat keine vollständigen technischen Beweise veröffentlicht, aber konkrete Indicators of Compromise (IoCs) mitgegeben. Ein Hinweis ist besonders wichtig: Das beobachtete Muster besteht aus zwei aufeinanderfolgenden Aufrufen.
- Zunächst ein Aufruf von „POST /api/session/reset_password“ mit einem 400-Statuscode.
- Danach ein Aufruf von „GET /api/user/current“ mit einem 200-Statuscode.
Wenn dieses Muster in Ihren Logs auftaucht – sei es in Anwendungslogs oder in den Ingress-Logs Ihres Metabase-Servers – hält Metabase es für wahrscheinlich, dass Ihre Instanz kompromittiert wurde.
Der CEO von Metabase, Sameer Al-Sakran, bewertet genau dieses Szenario als klares Warnsignal.
Betroffenes Beispiel: Framework meldet Datenzugriffe
Eine der erwähnten Organisationen, die Auswirkungen durch die Aktivität erlebt hat, ist Framework. Laut Bericht eines Tech-Mediums informierte der PC-Hersteller seine Kunden darüber, dass beim Angriff unter anderem Kundennamen, Login-IP-Adressen, Adressen, Telefonnummern sowie E-Mail-Adressen zugänglich waren.
Gleichzeitig wurde laut Meldung festgehalten, dass keine Bestell- oder Zahlungsinformationen abgerufen wurden. Welche Rollen Metabase dabei konkret spielte, geht aus der Zusammenfassung jedoch nicht im Detail hervor.
Vergleich: Frühere kritische Schwächen bei Metabase
Die aktuelle Situation reiht sich in eine Sicherheitsgeschichte ein: Metabase hatte vor exakt drei Jahren auf eine weitere extrem schwere Schwachstelle reagiert, die als CVE-2023-38646 (CVSS 9.8) bekannt wurde. Damals bestand die Möglichkeit, dass auf betroffenen Installationen Remote Code Execution möglich gewesen wäre – und zwar vor der Authentifizierung.
Dieser Kontext macht deutlich, dass Betreiber bei Metabase besonders aufmerksam hinsichtlich Updates und Log-Überwachung sein sollten, vor allem wenn öffentlich erreichbare Schnittstellen im Spiel sind.
Fazit: Metabase Zero-Day schnell entschärfen
Der Metabase Zero-Day ist derzeit nicht nur theoretisch, sondern wird laut Hersteller bereits aktiv ausgenutzt. Der Angriff kann ohne Anmeldung gelingen und führt zu Administratorzugriff über injizierte SQL-Kommandos. Das kann bis zum Auslesen von Credentials und Daten sowie zu Exporten reichen.
Wenn Sie Metabase selbst hosten, aktualisieren Sie Ihre Instanzen nach den veröffentlichten Fix-Versionen umgehend. Bis dahin blockieren Sie den Endpunkt /api/session/reset_password, prüfen Sie Ihre Logs auf die genannten IoC-Muster und führen Sie nach dem Update die empfohlenen Reset- und Reaktionsschritte durch.
Quelle: https://thehackernews.com/2026/08/metabase-zero-day-exploited-in-wild.html
