Eine schwerwiegende Sicherheitslücke in der Open-Source-Analytics-Plattform Metabase wurde entdeckt, die es Angreifern ermöglicht, die Zugangsdaten aller mit dem System verbundenen Datenbanken zu stehlen. Die Schwachstelle basiert auf einer SQL-Injection-Anfälligkeit, die es Unauthorisierten gestattet, Datenbank-Authentifizierungsinformationen auszulesen.
Metabase ist ein weit verbreitetes Tool zur Datenanalyse und Business-Intelligence, das in vielen Unternehmen zur Auswertung von Geschäftsdaten genutzt wird. Die Plattform verbindet sich üblicherweise mit verschiedenen Datenbank-Systemen wie PostgreSQL, MySQL, SQL Server oder anderen. Bei einer erfolgreichen SQL-Injection-Attacke wären Angreifer somit nicht nur Zugriff auf die Metabase-Installation selbst, sondern potenziell auf alle dahinter liegenden Datenbanken erhalten.
Das Problem wird durch die Vorgehensweise der Passwort-Verwaltung verschärft. Wenn ein Administrator in Metabase ein Passwort zurücksetzt, werden die Zugangsdaten nicht neu generiert, sondern bleiben in der Regel gespeichert. Mit Zugang zur SQL-Injection-Lücke können Angreifer somit alle Datenbank-Passwörter auslesen, ohne dass der Administrator davon unmittelbar erfährt.
Für Unternehmen, die Metabase einsetzen, sind sofortige Massnahmen erforderlich. Alle Metabase-Installationen sollten auf die neueste Patchversion aktualisiert werden. Zusätzlich sollten alle Datenbank-Passwörter, die in Metabase hinterlegt sind, sofort geändert werden. Idealerweise sollte geprüft werden, ob die Lücke bereits ausgenutzt wurde, indem Datenbankzugriffslogs analysiert werden.
Dieser Vorfall zeigt die Wichtigkeit von regelmässigen Sicherheitsaudits, Patch-Management und der Überwachung von Datenbankzugriffen in der eigenen IT-Infrastruktur. KMU, die Metabase nutzen, sollten nicht zögern, ihre Administratoren zu informieren und schnell zu handeln.