Критична вада в широко використовуваному аналітичному інструменті

Критичну вразливість SQL-ін'єкції в Metabase, популярній відкритій платформі бізнес-аналітики та візуалізації даних, було використано як zero-day під час хвилі атак із крадіжкою даних. Згідно з повідомленнями про інцидент, зловмисники використовували цю ваду для зламу клієнтських екземплярів Metabase та викрадення конфіденційної інформації ще до того, як було випущено виправлення. Дві компанії, Framework та Tally, підтвердили, що постраждали, і повідомили про витоки своїм користувачам.

Metabase використовується організаціями будь-якого розміру для підключення до баз даних, створення інформаційних панелей та аналізу бізнес-даних. Саме ця популярність робить подібну вразливість тривожною: одна-єдина вада в програмному забезпеченні потенційно може розкрити записи клієнтів, внутрішні показники та інші конфіденційні дані в багатьох не пов’язаних між собою організаціях, які просто використовують той самий інструмент.

Чому вразливості SQL-ін'єкцій залишаються такими небезпечними

SQL-ін'єкція – один із найстаріших і найкраще вивчених класів уразливостей безпеки, але вона продовжує з’являтися в сучасному програмному забезпеченні, включно з інструментами, спеціально створеними для керування базами даних і виконання запитів. Простими словами, вада SQL-ін'єкції дозволяє зловмисникові вставити шкідливі команди бази даних у додаток через поле або запит, які не були належним чином відфільтровані чи перевірені. У разі успіху зловмисник може читати, змінювати чи витягувати дані безпосередньо з бази даних, часто без потреби в дійсних облікових даних для входу.

Цей випадок примітний тим, що вразливість була використана як zero-day, тобто зловмисники активно застосовували її до того, як виправлення стало загальнодоступним або широко впровадженим. Саме цей часовий розрив перетворює технічну помилку на реальний інцидент крадіжки даних. Щойно зловмисники отримують доступ до підключеної бази даних екземпляра Metabase, витік не обмежується лише самою аналітичною платформою. Залежно від налаштувань інструменту, це може відкрити пряме вікно до будь-яких бізнесових або клієнтських даних, які містяться в цій базі.

Framework та Tally підтвердили, що постраждали

Як Framework, так і Tally повідомили, що їхні розгортання Metabase було скомпрометовано в межах цієї кампанії. Хоча ці дві компанії працюють у різних сферах, першопричина однакова: зловмисники атакували спільну вразливість у Metabase, а не щось унікальне для власної інфраструктури кожної компанії. Це поширена модель інцидентів у ланцюгу постачання програмного забезпечення. Вада в одному широко використовуваному компоненті може поширитися назовні та вразити клієнтів багатьох, в іншому не пов’язаних між собою, компаній, які всі покладаються на той самий базовий інструмент.

Для клієнтів Framework і Tally практичне занепокоєння очевидне: будь-які дані, які проходили через уражені екземпляри Metabase або зберігалися в них, потенційно включно з даними облікового запису, інформацією про використання чи іншими діловими записами, могли опинитися в руках неавторизованих сторін. Обидві компанії вжили заходів для повідомлення про інцидент, що є відповідальним кроком, але саме розкриття не скасовує витоку, який уже стався.

Що це означає для вас

Якщо ви є клієнтом Framework, Tally або будь-якого іншого сервісу, який використовує Metabase для внутрішньої аналітики чи звітності, цей інцидент нагадує, що безпека ваших даних часто залежить від інструментів і постачальників, з якими ви ніколи безпосередньо не взаємодієте. Більшість користувачів не мають уявлення, які бізнес-аналітичні платформи компанія використовує за лаштунками, проте вразливість у одній із таких платформ може безпосередньо вплинути на конфіденційність їхньої особистої інформації.

Найкорисніше, що ви можете зробити зараз, – звернути увагу на будь-які повідомлення про витік даних від сервісів, якими ви користуєтесь, особливо ті, що посилаються на Metabase, SQL-ін'єкцію або інцидент із викраденням даних. Такі повідомлення, як правило, описують, які саме дані могли бути викриті – чи то контактна інформація, чи активність облікового запису, чи щось більш чутливе. Ставтеся до будь-якого такого сповіщення серйозно, навіть якщо компанія описує інцидент як обмежений.

Також варто пам’ятати, що така вразливість не є унікальною для Metabase. Будь-яке програмне забезпечення, яке підключається до бази даних, є потенційною ціллю для SQL-ін'єкції, якщо перевірка вхідних даних виконана некоректно, а експлуатація нульового дня означає, що навіть добре підтримувані системи можуть бути захоплені зненацька до випуску виправлення.

Практичні висновки

Якщо ви користуєтеся Framework, Tally або будь-яким сервісом, який, як вам відомо, покладається на Metabase, стежте за офіційними повідомленнями про витік даних і уважно їх читайте, а не ігноруйте. Змініть паролі на уражених облікових записах, особливо якщо ви повторно використовуєте цей пароль деінде, та розгляньте можливість увімкнення багатофакторної автентифікації, якщо вона ще не активна. Відстежуйте свої облікові записи та фінансові виписки на предмет незвичайної активності протягом тижнів після будь-якого повідомлення, пов’язаного з цим інцидентом SQL-ін'єкції Metabase. Нарешті, будьте обережні щодо подальших спроб фішингу, які можуть намагатися використати обізнаність про цей витік, оскільки зловмисники часто використовують новини про реальний інцидент, щоб зробити шахрайські електронні листи чи повідомлення більш правдоподібними.