Vulnerabilidad SQL injection crítica en Metabase explotada en ataques
Metabase descubrió una vulnerabilidad de inyección SQL sin autenticación en sus plataformas cloud y self-hosted que fue explotada activamente para robar datos de empresas.
Metabase informó el 7 de agosto del descubrimiento de una vulnerabilidad SQL injection sin autenticación en versiones 1.58 en adelante que permite a atacantes remotos obtener acceso de administrador a instancias comprometidas. El CEO Sameer Al-Sakran confirmó que la vulnerabilidad fue explotada activamente contra clientes de Metabase Cloud y autoalojados.
Por qué importa: El fallo permite robo directo de datos, credenciales almacenadas de bases de datos conectadas y cambios de configuración sin que el atacante necesite credenciales previas. Metabase es una plataforma de análisis e inteligencia de negocio usada por miles de organizaciones.
Lo esencial
La vulnerabilidad tiene CVSS 10.0 (crítica máxima) y permite inyección SQL sin autenticación en /api/session/reset_password
Metabase Cloud ya fue parcheada; usuarios self-hosted deben actualizar a 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 o 0.63.5
Framework y Tally confirmaron que atacantes robaron datos de clientes después de comprometer sus instancias de Metabase
Acceso de administrador sin credenciales
El atacante puede ejecutar consultas SQL arbitrarias contra la base de datos interna de Metabase para escalar privilegios hacia acceso total como administrador. Desde ahí puede modificar la configuración de aplicaciones, robar credenciales guardadas para bases de datos conectadas, extraer cualquier dato accesible a través de esas conexiones y exportar información en masa.
Parches disponibles para todas las versiones
Metabase ya bloqueó los endpoints utilizados en los ataques activos. La empresa lanzó parches para todas las ramas afectadas desde la versión 0.58 hasta 0.63 con los números de actualización mínima seguros especificados. Los clientes de Metabase Cloud fueron actualizados automáticamente. Las organizaciones con instalaciones self-hosted deben actualizar de forma inmediata o, en caso de no poder hacerlo, bloquear temporalmente el acceso al endpoint /api/session/reset_password.
Identificación y respuesta a compromisos
Metabase advierte que los ataques dejan rastros específicos: una solicitud POST a /api/session/reset_password retornando código 400, seguida de un GET exitoso a /api/user/current. La empresa recomienda a clientes afectados revocar todas las sesiones de usuario activas, revisar cuentas de administrador y claves API para cambios no autorizados, rotar credenciales de bases de datos conectadas e inspeccionar logs y el historial de consultas buscando actividad maliciosa.
Empresas confirmadas afectadas
Framework, fabricante de laptops modulares, notificó a sus clientes sobre el robo de información incluyendo nombres completos y otros datos personales almacenados en su instancia. Tally, plataforma de finanzas personales, también confirmó que atacantes comprometieron su Metabase. Se espera que más organizaciones publiquen avisos similares conforme investigan el acceso no autorizado a sus sistemas.
