Metabase sieht sich einer neuen Erpressungsklage gegenüber, reagiert aber weiterhin auf eine kritische Sicherheitslücke, die Angreifer gegen ihre Cloud-Plattform genutzt haben. ShinyHunters fügte die Business-Intelligence-Firma am Dienstag zu seiner Leak-Seite hinzu, mehrere Tage nachdem Metabase bestätigt hatte, dass ein unbekannter Angreifer eine zuvor nicht bekannte Schwachstelle ausgenutzt hatte. Metabase hat diesen Eingriff nicht ShinyHunters zugeschrieben, daher bleibt die Verbindung zwischen den beiden Entwicklungen unbestätigt.
Der ShinyHunters-Beitrag liefert nur wenige Hinweise darauf, was angeblich passiert ist. Anstatt Details zum Einbruch zu veröffentlichen oder die angeblich erhaltenen Informationen zu beschreiben, veröffentlichte die Gruppe ein Emoticon und einen Link zu einem Download-Spiegel. Es wurde keine Anzahl angeblich gestohlener Daten angegeben, und die Hacker erklärten nicht, wann oder wie sie behaupten, in Metabases Systeme eingedrungen zu sein.
Metabases eigene Offenlegung liefert deutlich mehr Informationen über den bestätigten Sicherheitsvorfall. Am 6. August gab das Unternehmen bekannt, dass Metabase Cloud durch einen Zero-Day ins Visier genommen wurde, was die Versionen 1.58 und neuer beeinflusst. Die Schwachstelle hat den höchstmöglichen CVSS-Schweregrad von 10,0 und kann ohne Authentifizierung aus der Ferne ausgenutzt werden.
Der Fehler ermöglicht SQL-Injektionen gegen die Metabase-Anwendungsdatenbank und verleiht einem Angreifer potenziell administratorische Privilegien. Dieser Zugriff ist besonders empfindlich, weil Organisationen Metabase nutzen, um sich mit anderen Datenbanken für Analysen zu verbinden. Metabase warnte, dass ein Eindringling potenziell Zugangsdaten für diese verbundenen Systeme erhalten, auf Informationen zugreifen und Daten an andere Orte übertragen könnte.
Cloud-Kunden haben die Sicherheitskorrektur bereits direkt von Metabase erhalten, während Organisationen, die eigene Installationen betreiben, angewiesen wurden, ein Update zu machen. Metabase stellte Administratoren außerdem eine Anfragesequenz zur Verfügung, die auf einen versuchten Ausnutzen hinweisen könnte, sodass selbstgehostete Kunden die Möglichkeit hatten, zu prüfen, ob ihre Systeme ins Visier genommen wurden.
Die Anzahl der Organisationen, die möglicherweise vom tatsächlichen Angriff betroffen sind, ist noch nicht bekannt. Metabase gibt an, dass seine Analyseplattform von mehr als 100.000 Organisationen in über 150 Ländern genutzt wird, aber diese Zahl spiegelt die gesamte Nutzerbasis wider und sollte nicht als Zahl der kompromittierten Kunden interpretiert werden. Zu den öffentlich vorgestellten Nutzern der Plattform gehören Revolut, N26, Gojek, Remote, Coupa und Cal.com.
Mindestens einige Organisationen, die Metabase nutzen, haben separat eine Exposition im Zusammenhang mit der Schwachstelle gemeldet. Die Berichterstattung über den Vorfall zeigt, dass der Laptop-Hersteller Framework die Kunden darüber informierte, dass Namen, E-Mail-Adressen, Telefonnummern und physische Adressen über seine Metabase-Umgebung abgerufen wurden, während Bestell- und Zahlungsinformationen nicht betroffen waren.
ShinyHunters hat bisher keine technischen Beweise geliefert, die zeigen, dass es dieselbe Schwachstelle ausgenutzt hat. Die Gruppe ist bekannt für Datendiebstahl und Erpressung mit Unternehmensplattformen, einschließlich früherer Kampagnen gegen Unternehmens-SaaS-Umgebungen, doch ihre Geschichte kann die Verantwortung für diesen Vorfall nicht nachweisen. Microsoft hat separat dokumentierte Aktivitäten im Zusammenhang mit ShinyHunters im Zusammenhang mit unbefugtem Zugriff und Datendiebstahl aus SaaS-Anwendungen.
Nach den neuesten verfügbaren Informationen hat Metabase die Nutzung des Zero-Day bestätigt, aber den verantwortlichen Angreifer nicht genannt. ShinyHunters hat Metabase auf seiner Leak-Seite beansprucht, aber nicht genügend Beweise offengelegt, um unabhängig zu überprüfen, welche Daten es besitzt oder ob sein Anspruch auf die bestätigte Zero-Day-Eindringung zurückzuführen ist.