Уязвимост от типа SQL инжекция в Metabase, използвана като нулев ден, засегна Framework и Tally

Критична уязвимост в широко използван аналитичен инструмент

Критична уязвимост от типа SQL инжекция в Metabase, популярна платформа с отворен код за бизнес анализи и визуализация на данни, беше използвана като нулев ден при вълна от атаки за кражба на данни. Според информацията за инцидента, нападателите са използвали уязвимостта, за да проникнат в клиентски инстанции на Metabase и да откраднат чувствителна информация, преди да бъде наличен пач. Две компании – Framework и Tally – потвърдиха, че са засегнати, и разкриха пробивите пред своите потребители.

Metabase се използва от организации с всякакви размери за свързване към бази данни, създаване на табла за управление и анализ на бизнес данни. Точно тази популярност прави една такава уязвимост тревожна: един-единствен недостатък в основния софтуер може потенциално да изложи клиентски записи, вътрешни показатели и други чувствителни данни в множество несвързани организации, които просто разчитат на същия инструмент.

Защо SQL инжекциите остават толкова опасни

SQL инжекцията е един от най-старите и добре разбрани класове уязвимости в сигурността, но продължава да се появява в съвременния софтуер, включително в инструменти, създадени специално за управление и заявки към бази данни. Най-просто казано, уязвимост от типа SQL инжекция позволява на нападателя да вмъкне злонамерени команди за база данни в приложение през поле или заявка, която не е била правилно филтрирана или валидирана. Ако атаката е успешна, нападателят може да чете, променя или извлича данни директно от съответната база данни, често без да са му нужни валидни идентификационни данни.

Това, което прави конкретния случай забележителен, е, че уязвимостта беше използвана като нулев ден, което означава, че нападателите активно са я експлоатирали, преди поправката да е публично достъпна или широко внедрена. Точно този времеви прозорец превръща техническия бъг в реален инцидент с кражба на данни. След като нападателите получат достъп до свързаната база данни на дадена Metabase инстанция, излагането не се ограничава само до самата аналитична платформа. В зависимост от конфигурацията на инструмента, той може да осигури пряк прозорец към каквито и бизнес или клиентски данни да съдържа базата данни.

Framework и Tally потвърждават, че са засегнати

И двете компании – Framework и Tally – разкриха, че техните Metabase внедрявания са били компрометирани в рамките на тази кампания. Въпреки че двете компании оперират в различни сфери, основната причина е една и съща: нападателите са се насочили към общата уязвимост в Metabase, а не към нещо уникално за собствената инфраструктура на всяка от компаниите. Това е често срещан модел при инциденти с веригата за доставки на софтуер. Уязвимост в един широко използван компонент може да се разпростре навън и да засегне клиенти на множество, иначе несвързани бизнеси, които всички разчитат на същия основен инструмент.

За клиентите на Framework и Tally практическият проблем е ясен: всякакви данни, които са преминали или са били съхранявани в засегнатите Metabase инстанции, включително потенциално данни за акаунти, информация за използване или други бизнес записи, може да са били достъпени от неоторизирани лица. И двете компании са предприели стъпки да разкрият инцидента, което е отговорният подход, но самото разкриване не отменя вече случилото се излагане на данни.

Какво означава това за вас

Ако сте клиент на Framework, Tally или която и да е друга услуга, която разчита на Metabase за вътрешни анализи или отчети, този инцидент е напомняне, че сигурността на вашите данни често зависи от инструменти и доставчици, с които никога не взаимодействате директно. Повечето потребители нямат видимост върху това кои платформи за бизнес анализи използва дадена компания зад кулисите, но уязвимост в една от тези платформи може пряко да засегне поверителността на личните им данни.

Най-полезното нещо, което можете да направите в момента, е да обърнете внимание на всякакви известия за пробив от услугите, които ползвате, особено такива, които споменават Metabase, SQL инжекция или инцидент с кражба на данни. Такива известия обикновено описват какви конкретни данни са потенциално изложени – дали това е информация за контакти, активност по акаунта или нещо по-чувствително. Приемайте всяко такова известие сериозно, дори ако компанията представя инцидента като ограничен по обхват.

Също така си струва да запомните, че този тип уязвимост не е уникална за Metabase. Всеки софтуер, който се свързва с база данни, е потенциална цел за SQL инжекция, ако валидирането на входните данни не е обработено правилно, а експлоатацията от типа нулев ден означава, че дори добре поддържани системи могат да бъдат изненадани, преди да излезе пач.

Практически изводи

Ако използвате Framework, Tally или която и да е услуга, за която знаете, че разчита на Metabase, следете за официални известия за пробиви и ги четете внимателно, вместо да ги пренебрегвате. Сменете паролите на засегнатите акаунти, особено ако използвате същата парола и на други места, и обмислете включването на многофакторно удостоверяване, ако то все още не е активно. Наблюдавайте акаунтите и финансовите си извлечения за необичайна активност в седмиците след всяко разкритие, свързано с този инцидент с SQL инжекция в Metabase. И накрая, бъдете предпазливи към последващи опити за фишинг, които могат да се опитат да използват осведомеността за този пробив, тъй като нападателите често използват новините за реален инцидент, за да направят измамните имейли или съобщения да изглеждат по-достоверни.