Metabase si trova ad affrontare una nuova accusa di estorsione pur continuando a rispondere a una falla di sicurezza critica che gli attaccanti hanno utilizzato contro la sua piattaforma cloud. ShinyHunters ha aggiunto la società di business intelligence al suo sito di fuga di notizie martedì, alcuni giorni dopo che Metabase aveva confermato che un attaccante sconosciuto aveva sfruttato una vulnerabilità precedentemente non resa nota. Metabase non ha attribuito quell’intrusione a ShinyHunters, quindi il collegamento tra i due sviluppi rimane non confermato.
Il post di ShinyHunters offre pochi indizi su quanto sarebbe successo. Invece di pubblicare dettagli sull’intrusione o descrivere le informazioni presumibilmente ottenute, il gruppo ha pubblicato un’emoticon e un link a uno specchio di download. Non è stata specificata alcuna quantità di dati presuntamente rubati, e gli hacker non hanno spiegato quando o come affermano di essere entrati nei sistemi di Metabase.
La divulgazione di Metabase fornisce molte più informazioni sull’incidente di sicurezza confermato. Il 6 agosto, l’azienda ha rivelato che Metabase Cloud era stato preso di mira tramite uno zero-day che ha influenzato le versioni 1.58 e successive. La vulnerabilità ha il punteggio di gravità CVSS più alto possibile, pari a 10,0, e può essere sfruttata da remoto senza autenticazione.
Il difetto consente l’iniezione SQL sul database applicativo Metabase, potenzialmente concedendo all’attaccante privilegi a livello amministratore. Quell’accesso è particolarmente sensibile perché le organizzazioni utilizzano Metabase per connettersi ad altri database per l’analitica. Metabase ha avvertito che un intruso potrebbe potenzialmente ottenere credenziali per quei sistemi collegati, accedere alle informazioni disponibili tramite essi e trasferire dati altrove.
I clienti cloud hanno già ricevuto la correzione di sicurezza direttamente da Metabase, mentre le organizzazioni che gestiscono le proprie installazioni sono state istruite ad aggiornarsi. Metabase forniva inoltre agli amministratori una sequenza di richieste che poteva indicare un tentativo di sfruttamento, offrendo ai clienti auto-ospitati un modo per indagare se i loro sistemi fossero presi di mira.
Il numero di organizzazioni potenzialmente colpite dall’attacco vero e proprio non è stato stabilito. Metabase afferma che la sua piattaforma di analytics è utilizzata da oltre 100.000 organizzazioni in oltre 150 paesi, ma questa cifra rappresenta la sua base utenti complessiva e non dovrebbe essere interpretata come il numero di clienti compromessi. Gli utenti pubblici della piattaforma includono Revolut, N26, Gojek, Remote, Coupa e Cal.com.
Almeno alcune organizzazioni che utilizzano Metabase hanno segnalato separatamente esposizioni legate alla vulnerabilità. La segnalazione sull’incidente indica che il produttore di laptop Framework ha informato i clienti che nomi, indirizzi email, numeri di telefono e indirizzi fisici sono stati accessibili tramite il suo ambiente Metabase, mentre le informazioni su ordini e pagamenti non sono state influenzate.
ShinyHunters non ha ancora fornito prove tecniche che dimostrino di aver sfruttato la stessa vulnerabilità. Il gruppo è noto per il furto di dati e l’estorsione che coinvolgono piattaforme aziendali, incluse campagne precedenti che hanno preso di mira ambienti SaaS aziendali, ma la sua storia non può stabilire la responsabilità di questo incidente. Microsoft ha documentato separatamente attività associate a ShinyHunters che coinvolgono accessi non autorizzati e furto di dati da applicazioni SaaS.
Secondo le ultime informazioni disponibili, Metabase ha confermato lo sfruttamento dello zero-day ma non ha indicato l’attaccante responsabile. ShinyHunters ha rivendicato Metabase sul sito della fuga di notizie, ma non ha divulgato prove sufficienti per verificare in modo indipendente quali dati possiede o se la sua affermazione derivi dall’intrusione zero-day confermata.