Metabase confirma explotación activa de una inyección SQL crítica sin autenticación

Metabase confirmó que un atacante aprovechó una vulnerabilidad desconocida en versiones 1.58 y posteriores para comprometer su plataforma cloud. La falla permite enviar SQL arbitrario a la base de datos interna de la aplicación sin autenticación y, como consecuencia, obtener privilegios administrativos sobre una instancia.

La empresa bloqueó los endpoints usados durante el ataque y desplegó correcciones para sus clientes cloud. La investigación periodística posterior identificó a Framework y Tally entre las organizaciones que notificaron extracción de datos relacionada con instancias vulnerables.

El aviso de seguridad asigna una puntuación CVSS 10.0 y confirma explotación activa. Un intruso con acceso administrativo podría modificar la configuración, revisar datos disponibles mediante conexiones configuradas y recuperar credenciales almacenadas para bases de datos conectadas.

Metabase indicó un patrón útil para búsqueda retrospectiva: una solicitud POST a /api/session/reset_password con respuesta 400 seguida por una solicitud GET a /api/user/current con respuesta 200. La presencia de esa secuencia puede indicar que la instancia ya fue comprometida.