Критическая уязвимость в широко используемом инструменте аналитики
Критическая уязвимость SQL-инъекции в Metabase, популярной открытой платформе бизнес-аналитики и визуализации данных, использовалась как уязвимость нулевого дня в ходе волны атак с кражей данных. Согласно сообщениям об инциденте, злоумышленники использовали эту уязвимость для взлома клиентских экземпляров Metabase и кражи конфиденциальной информации до того, как стало доступно исправление. Две компании — Framework и Tally — подтвердили, что пострадали, и уведомили об утечках своих пользователей.
Metabase используется организациями любого размера для подключения к базам данных, создания дашбордов и анализа бизнес-данных. Именно эта популярность и делает подобную уязвимость вызывающей беспокойство: одна-единственная ошибка в базовом программном обеспечении потенциально может раскрыть клиентские записи, внутренние метрики и другие конфиденциальные данные во множестве не связанных между собой организаций, которые просто используют один и тот же инструмент.
Почему уязвимости SQL-инъекций остаются столь опасными
SQL-инъекция — один из старейших и наиболее изученных классов уязвимостей безопасности, однако она продолжает появляться в современном программном обеспечении, включая инструменты, специально предназначенные для управления и выполнения запросов к базам данных. Проще говоря, уязвимость SQL-инъекции позволяет злоумышленнику вставить вредоносные команды базы данных в приложение через поле или запрос, которые не были должным образом отфильтрованы или проверены. В случае успеха злоумышленник может читать, изменять или извлекать данные непосредственно из целевой базы данных, зачастую без необходимости в действительных учётных данных.
Этот конкретный случай примечателен тем, что уязвимость использовалась как zero-day, то есть злоумышленники активно применяли её до того, как исправление стало общедоступным или широко развёрнутым. Именно этот временной разрыв превращает техническую ошибку в реальный инцидент кражи данных. Получив доступ к подключённой базе данных экземпляра Metabase, злоумышленники получают возможность выйти далеко за пределы самой аналитической платформы. В зависимости от конфигурации инструмента, он может предоставить прямое окно к любым бизнес-данным или данным клиентов, которые хранятся в этой базе.
Framework и Tally подтверждают, что пострадали
Обе компании — Framework и Tally — раскрыли информацию о том, что их развёртывания Metabase были скомпрометированы в рамках этой кампании. Хотя эти две компании работают в разных сферах, основная причина одна и та же: злоумышленники целились в общую уязвимость в Metabase, а не в нечто уникальное для инфраструктуры каждой из компаний. Это распространённая модель инцидентов с цепочками поставок программного обеспечения. Уязвимость в одном широко используемом компоненте может распространиться и затронуть клиентов многих, в остальном не связанных между собой организаций, которые все зависят от этого общего инструмента.
Для клиентов Framework и Tally практическая проблема очевидна: любые данные, которые проходили через пострадавшие экземпляры Metabase или хранились в них, включая, возможно, сведения об учётных записях, информацию об использовании или другие деловые записи, могли быть доступны посторонним лицам. Обе компании предприняли шаги для раскрытия информации об инциденте, что является ответственным поведением, но само раскрытие не отменяет уже произошедшей утечки.
Что это значит для вас
Если вы клиент Framework, Tally или любого другого сервиса, который полагается на Metabase для внутренней аналитики или отчётности, этот инцидент служит напоминанием о том, что безопасность ваших данных часто зависит от инструментов и поставщиков, с которыми вы никогда не взаимодействуете напрямую. Большинство пользователей не имеют представления о том, какие бизнес-аналитические платформы компания использует за кулисами, однако уязвимость в одной из таких платформ может напрямую повлиять на конфиденциальность их личной информации.
Самое полезное, что вы можете сделать прямо сейчас, — обратить внимание на любые уведомления об утечках данных от сервисов, которыми вы пользуетесь, особенно если в них упоминается Metabase, SQL-инъекция или инцидент с кражей данных. Такие уведомления обычно описывают, какие именно данные могли быть раскрыты — будь то контактная информация, активность аккаунта или нечто более конфиденциальное. Относитесь к подобным уведомлениям серьёзно, даже если компания представляет инцидент как ограниченный по масштабам.
Также стоит помнить, что подобная уязвимость не является уникальной для Metabase. Любое программное обеспечение, подключающееся к базе данных, потенциально может стать целью SQL-инъекции, если проверка входных данных не осуществляется должным образом, а эксплуатация уязвимости нулевого дня означает, что даже хорошо обслуживаемые системы могут быть застигнуты врасплох до выхода исправления.
Практические выводы
Если вы пользуетесь Framework, Tally или любым сервисом, который, как вам известно, использует Metabase, следите за официальными уведомлениями об утечке данных и внимательно их читайте, а не игнорируйте. Смените пароли в затронутых аккаунтах, особенно если вы повторно используете этот пароль где-либо ещё, и рассмотрите возможность включения многофакторной аутентификации, если она ещё не активна. Отслеживайте свои учётные записи и финансовые отчёты на предмет необычной активности в течение нескольких недель после любого раскрытия информации, связанного с этим инцидентом SQL-инъекции в Metabase. Наконец, будьте осторожны с любыми последующими попытками фишинга, которые могут попытаться использовать осведомлённость об этой утечке, поскольку злоумышленники часто используют новость о реальном инциденте, чтобы сделать мошеннические письма или сообщения более правдоподобными.
