ช่องโหว่ Zero-Day บน Metabase ถูกนำไปใช้โจมตีจริงในวงกว้าง ทำให้สามารถเข้าถึงสิทธิ์ Admin ได้โดยไม่ต้องยืนยันตัวตน

Metabase ออกประกาศเตือนว่าพบการนำช่องโหว่ด้านความปลอดภัยระดับความรุนแรงสูงสุดไปใช้โจมตีจริง ซึ่งส่งผลกระทบต่อ Software ด้าน Business Intelligence และ Data Visualization ของบริษัท โดยช่องโหว่ดังกล่าวกำลังถูกนำไปใช้โจมตีจริงในรูปแบบ Zero-day

ช่องโหว่นี้มีคะแนนความรุนแรง CVSS อยู่ที่ 10.0 และยังไม่มีการกำหนดหมายเลข CVE โดยเปิดช่องให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนสามารถ Inject SQL ที่กำหนดเองเข้าสู่ฐานข้อมูลของ Metabase Application ซึ่งทำให้ผู้โจมตีสามารถเข้าถึง Instance ด้วยสิทธิ์ระดับ Administrator ได้

เมื่อได้รับสิทธิ์ระดับสูงแล้ว ผู้โจมตีสามารถเปลี่ยนแปลง Configuration ของ Application, ขโมย Credential ที่จัดเก็บไว้สำหรับ Database ที่เชื่อมต่ออยู่, อ่านข้อมูลทั้งหมดที่สามารถเข้าถึงได้ผ่าน Connection เหล่านั้น และ Export ข้อมูลออกไปได้

Metabase ระบุใน Security Advisory ว่า “เมื่อไม่นานมานี้ เราพบว่า Metabase Cloud ถูกโจมตีโดยผู้ไม่หวังดี ซึ่งใช้ช่องโหว่ด้านความปลอดภัยที่ไม่เคยรู้จักมาก่อน (‘zero-day’) ใน Metabase เวอร์ชัน 1.58 ขึ้นไป”

Metabase Cloud Instances ได้รับการอัปเดตเป็นเวอร์ชันล่าสุดเรียบร้อยแล้ว ขณะที่ผู้ใช้งาน Metabase แบบ Self-hosted ควรติดตั้ง Security Patch ที่ Metabase เผยแพร่โดยทันที โดยเวอร์ชันที่ได้รับผลกระทบมีดังนี้

• เวอร์ชันตั้งแต่ x.58.0 แต่ไม่ถึง x.58.23 (แก้ไขแล้วใน x.58.24)
• เวอร์ชันตั้งแต่ x.59.0 แต่ไม่ถึง x.59.20 (แก้ไขแล้วใน x.59.21)
• เวอร์ชันตั้งแต่ x.60.0 แต่ไม่ถึง x.60.16 (แก้ไขแล้วใน x.60.17)
• เวอร์ชันตั้งแต่ x.61.0 แต่ไม่ถึง x.61.10 (แก้ไขแล้วใน x.61.11)
• เวอร์ชันตั้งแต่ x.62.0 แต่ไม่ถึง x.62.8 (แก้ไขแล้วใน x.62.9)
• เวอร์ชันตั้งแต่ x.63.0 แต่ไม่ถึง x.63.3 (แก้ไขแล้วใน x.63.5)

ในระหว่างที่ยังไม่สามารถติดตั้ง Patch ได้ Metabase แนะนำให้ใช้วิธีแก้ไขปัญหาชั่วคราว (Workaround) ด้วยการ Block Endpoint “/api/session/reset_password”

หลังจากติดตั้งอัปเดตเรียบร้อยแล้ว ลูกค้าที่เปิดให้ Endpoint “/api/session/reset_password” สามารถเข้าถึงได้จาก Public Internet ควรดำเนินการตามขั้นตอนต่อไปนี้

• Revoke User Session ที่กำลัง Active ทั้งหมด โดยเข้าถึง Metabase Application Database และลบข้อมูลทุก Row ใน Table core_session
• ตรวจสอบ API Keys และลบ Key ที่ไม่รู้จัก หรือไม่ได้รับอนุญาต
• ตรวจสอบ Administrator Accounts เพื่อค้นหาการเปลี่ยนแปลงที่ผิดปกติ
• Rotate Credential ของ Database ที่เชื่อมต่ออยู่ทั้งหมด
• ตรวจสอบ Data Warehouse Logs เพื่อค้นหาสัญญาณของการเข้าถึงโดยไม่ได้รับอนุญาต
• ตรวจสอบ Metabase Activity และ Query History เพื่อค้นหากิจกรรมที่ผิดปกติ หรือไม่ได้รับอนุญาต

Metabase ไม่ได้เปิดเผยรายละเอียดเกี่ยวกับกิจกรรมที่เป็นอันตราย แต่ได้เผย Indicators of Compromise (IoCs) ที่สามารถใช้ตรวจสอบการถูกโจมตี ดังนี้

• มี Request POST /api/session/reset_password ซึ่งตอบกลับด้วย Status Code 400
• จากนั้นตามด้วย Request GET /api/user/current ซึ่งตอบกลับด้วย Status Code 200

Sameer Al-Sakran ซีอีโอของ Metabase ระบุว่า หากพบรูปแบบดังกล่าวใน Application Logs หรือ Metabase Server Ingress Logs มีความเป็นไปได้สูงว่า Instance ดังกล่าวถูก Compromise แล้ว

หนึ่งในบริษัทที่ได้รับผลกระทบจากเหตุการณ์นี้คือ Framework โดย Engadget รายงานว่าผู้ผลิต PC รายดังกล่าวได้แจ้งลูกค้าทั้งหมดว่า ระหว่างการโจมตีครั้งนี้ผู้ไม่หวังดีสามารถเข้าถึงข้อมูลชื่อของลูกค้า, Login IP Addresses, ที่อยู่, หมายเลขโทรศัพท์ และ Email Addresses ได้ อย่างไรก็ตามบริษัทระบุว่า ไม่มีข้อมูลคำสั่งซื้อ หรือข้อมูลการชำระเงินถูกเข้าถึง

เมื่อสามปีก่อน Metabase ได้ดำเนินการแก้ไขช่องโหว่ที่ถูกจัดว่ามีความรุนแรงอย่างยิ่งอีกหนึ่งรายการ (CVE-2023-38646, CVSS Score: 9.8) ซึ่งช่องโหว่ดังกล่าวอาจทำให้ผู้โจมตีสามารถทำ Remote Code Execution ได้โดยไม่ต้องผ่านการยืนยันตัวตนบน Installation ที่ได้รับผลกระทบ

ที่มา : thehackernews