A Metabase enfrenta uma nova acusação de extorsão, enquanto ainda responde a uma falha crítica de segurança que os atacantes usaram contra sua plataforma em nuvem. A ShinyHunters adicionou a empresa de inteligência empresarial ao seu site de vazamento na terça-feira, vários dias depois da Metabase confirmar que um atacante desconhecido havia explorado uma vulnerabilidade até então não divulgada. A Metabase não atribuiu essa intrusão aos ShinyHunters, então a conexão entre os dois desenvolvimentos permanece não confirmada.
O post do ShinyHunters oferece poucas pistas sobre o que supostamente aconteceu. Em vez de publicar detalhes sobre a invasão ou descrever as informações supostamente obtidas, o grupo postou um emoticon e um link para um espelho de download. Nenhuma quantidade de dados supostamente roubados foi especificada, e os hackers não explicaram quando ou como afirmam ter entrado nos sistemas da Metabase.
A própria divulgação da Metabase fornece consideravelmente mais informações sobre o incidente de segurança confirmado. Em 6 de agosto, a empresa revelou que a Metabase Cloud havia sido alvo por meio de um zero-day que afetava as versões 1.58 e posteriores. A vulnerabilidade possui a maior pontuação possível de severidade CVSS, 10,0, e pode ser explorada remotamente sem autenticação.
A falha permite a injeção SQL no banco de dados da aplicação Metabase, potencialmente concedendo privilégios de nível administrador a um atacante. Esse acesso é particularmente sensível porque as organizações usam o Metabase para se conectar a outros bancos de dados para análises. A Metabase alertou que um intruso poderia potencialmente obter credenciais para esses sistemas conectados, acessar informações disponíveis por meio deles e transferir dados para outros lugares.
Os clientes da nuvem já receberam a correção de segurança diretamente da Metabase, enquanto as organizações que operam suas próprias instalações foram instruídas a atualizar. A Metabase também forneceu aos administradores uma sequência de solicitações que pode indicar tentativa de exploração, dando aos clientes autohospedados uma forma de investigar se seus sistemas foram alvos.
O número de organizações potencialmente afetadas pelo ataque real ainda não foi estabelecido. A Metabase afirma que sua plataforma de análise é usada por mais de 100.000 organizações em mais de 150 países, mas esse número representa sua base total de usuários e não deve ser interpretado como o número de clientes comprometidos. Usuários públicos da plataforma incluem Revolut, N26, Gojek, Remote, Coupa e Cal.com.
Pelo menos algumas organizações que usam o Metabase relataram separadamente exposição relacionada à vulnerabilidade. Relatos sobre o incidente indicam que a fabricante de laptops Framework informou aos clientes que nomes, endereços de e-mail, números de telefone e endereços físicos foram acessados por meio de seu ambiente Metabase, enquanto as informações de pedidos e pagamentos não foram afetadas.
O ShinyHunters ainda não forneceu evidências técnicas que demonstrem que explorou a mesma vulnerabilidade. O grupo é conhecido por roubo de dados e extorsão envolvendo plataformas corporativas, incluindo campanhas anteriores direcionadas a ambientes SaaS corporativos, mas seu histórico não consegue estabelecer responsabilidade por esse incidente. A Microsoft documentou separadamente atividades associadas aos ShinyHunters envolvendo acesso não autorizado e roubo de dados de aplicativos SaaS.
De acordo com as informações mais recentes disponíveis, a Metabase confirmou a exploração do zero-day, mas não nomeou o atacante como responsável. A ShinyHunters reivindicou Metabase em seu site de vazamento, mas não revelou evidências suficientes para verificar de forma independente quais dados possui ou se sua alegação decorre da intrusão zero-day confirmada.