El panorama de la ciberseguridad se ha visto sacudido recientemente por el descubrimiento y explotación activa de una vulnerabilidad de día cero (zero-day) en Metabase, una de las herramientas de inteligencia de negocios (BI) y visualización de datos más utilizadas a nivel global. Este fallo crítico ha permitido a atacantes remotos comprometer instancias de clientes y sustraer información sensible.
¿Qué ha sucedido?
Metabase ha confirmado que su plataforma SaaS (Metabase Cloud) y las instalaciones autogestionadas (self-hosted) se han visto afectadas por una vulnerabilidad de inyección SQL (SQLi) no autenticada. El fallo afecta a las versiones 1.58 y superiores. Lo más preocupante es que este error fue descubierto mientras ya estaba siendo explotado por actores maliciosos, lo que técnicamente se conoce como un ataque de día cero.
Detalles técnicos y gravedad
Aunque aún no se ha asignado un identificador CVE formal, la vulnerabilidad ha recibido una puntuación CVSS de 10.0, la máxima posible en la escala de severidad. Al ser una inyección SQL no autenticada, un atacante no necesita credenciales previas para ejecutar comandos maliciosos en la base de datos de la aplicación.
A través de este vector, los atacantes pueden:
- Obtener privilegios de administrador de forma remota.
- Modificar la configuración de la aplicación.
- Extraer credenciales almacenadas de otras bases de datos conectadas.
- Exportar y robar cualquier dato accesible a través de Metabase.
Empresas afectadas: Framework y Tally
Varias organizaciones ya han notificado brechas de seguridad vinculadas a este incidente. El fabricante de portátiles Framework informó que los atacantes lograron sustraer nombres completos, correos electrónicos, direcciones de facturación y números de teléfono de sus clientes. Por su parte, la plataforma de formularios Tally confirmó que los atacantes accedieron a correos electrónicos y hashes de contraseñas de sus usuarios.
Incluso gigantes como LexisNexis han reportado interrupciones en sus servicios debido a actividades inusuales en servidores gestionados por terceros relacionados con la API de Metabase.
Recomendaciones para empresas
Desde el departamento de ciberseguridad de Intedya, instamos a todas las organizaciones que utilicen Metabase a tomar medidas inmediatas:
- Actualización Urgente: Metabase ya ha lanzado parches de seguridad. Es imperativo actualizar a las versiones mínimas seguras (0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9, o 0.63.5 según su rama).
- Mitigación Temporal: Si no puede actualizar de inmediato, bloquee el acceso al endpoint
/api/session/reset_password. - Auditoría de Cuentas: Revise los registros de acceso, las claves API y las cuentas de administrador en busca de cambios no autorizados.
- Rotación de Credenciales: Se recomienda cambiar las contraseñas de todas las bases de datos que estuvieran conectadas a la instancia de Metabase afectada.
Este incidente subraya la importancia de contar con políticas de actualización robustas y sistemas de monitoreo proactivos. En un entorno donde las vulnerabilidades críticas pueden aparecer en herramientas de análisis de confianza, la resiliencia operativa depende de la rapidez de respuesta y la higiene digital.
Fuentes
- Bleeping Computer — Metabase SQLi zero-day exploited in customer data-theft attacks
https://www.bleepingcomputer.com/news/security/framework-tally-disclose-metabase-data-theft-attacks/