注目★★★★★CISA KEV
Metabase に認証なし SQL インジェクション、管理者奪取可能
30秒で把握
- 1Metabase の SQL インジェクション脆弱性が CISA KEV カタログに登録・認証なしで管理者奪取可能
- 2攻撃者は設定変更、DB 認証情報窃取、全データ読取・エクスポートが実行可能・実在悪用事例あり
- 3本番運用チームはネットワークアクセス制限確認とパッチアップグレードを即実施・接続 DB 秘密情報監査も並行
要約
Metabase に認証を要さない SQL インジェクション脆弱性が存在し、遠隔攻撃者がアプリケーションデータベースへ任意の SQL を注入して管理者アクセスを奪取できる。攻撃者は設定変更、連携データベースの保存認証情報窃取、接続先データベースの全データ読取、データのエクスポートが可能になる。本脆弱性は CISA KEV カタログに登録され、実在する悪用事例が報告されている。
あなたへの影響
Metabase をオンプレミス・クラウドを問わず本番運用するチームは、直ちに BI ツールへのネットワークアクセス制限 (VPN/IP ホワイトリスト) の確認とパッチバージョンへのアップグレード計画を立案すべき。
推奨：管理者認証情報と連携 DB の秘密情報管理状況の監査も並行実施を推奨する。