Kerentanan Zero-Day Metabase Dieksploitasi dalam Serangan Pencurian Data Pelanggan
Celah kerentanan kritis zero-day berbasis SQL Injection (SQLi) pada platform analisis data Metabase dieksploitasi secara aktif oleh peretas untuk membobol sistem dan mencuri data pelanggan. Insiden ini telah berdampak pada beberapa perusahaan teknologi terkemuka, termasuk pembuat laptop Framework dan penyedia formulir daring Tally.
Metabase mengonfirmasi bahwa layanan berbasis cloud SaaS (Metabase Cloud) maupun instalasi mandiri (self-hosted) berisiko tinggi akibat celah keamanan ini. Kerentanan yang mempengaruhi versi 1.58 ke atas tersebut tidak memerlukan otentikasi (unauthenticated) dan mendapatkan skor keparahan tertinggi (CVSS 10.0).
Melalui eksploitasi celah ini, penyerang dapat menyuntikkan perintah SQL sembarang ke dalam basis data aplikasi Metabase untuk memperoleh hak akses administrator penuh. Setelah berhasil menguasai akun administrator, peretas dapat mengubah konfigurasi sistem, menguras kredensial terenkripsi untuk basis data yang terhubung, membaca seluruh data sensitif, hingga mengunggah dan mengekstrak data keluar dari sistem.
Pihak Metabase bergerak cepat dengan menutup endpoint yang dimanfaatkan penyerang serta merilis pembaruan keamanan. Bagi pengguna Metabase Cloud, perbaikan sistem telah diterapkan secara otomatis. Namun, organisasi yang mengelola server self-hosted diimbau untuk segera melakukan pembaruan manual ke versi aman minimal, seperti versi 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9, atau 0.63.5.
Sebagai langkah mitigasi sementara jika pembaruan belum bisa dilakukan, pengguna disarankan untuk memblokir akses ke endpoint /api/session/reset_password.
Dampak dari peretasan zero-day ini mulai dirasakan oleh sejumlah korporasi. Produsen laptop modular Framework mengonfirmasi bahwa server Metabase milik mereka sempat diakses oleh peretas pada 3 Agustus. Informasi pelanggan yang teridentifikasi ikut dicuri mencakup nama lengkap, alamat email, alamat IP login, alamat penagihan dan pengiriman, nomor telepon, serta data profil perusahaan.
Di saat bersamaan, platform pembuat formulir Tally melaporkan bahwa lingkungan analisis Metabase milik mereka turut dibobol pada tanggal yang sama. Peretas berhasil menguasai alamat email dan hash kata sandi milik pengguna. Kendati demikian, Tally memastikan bahwa isi formulir serta jawaban responden aman karena disimpan pada infrastruktur terpisah. Selain itu, layanan penyedia data LexisNexis juga melaporkan adanya gangguan pada integrasi Metabase API milik vendor pihak ketiga mereka akibat aktivitas mencurigakan.
Pengelola server self-hosted diminta untuk segera melakukan update, mencabut seluruh sesi pengguna yang aktif, merotasi kata sandi basis data yang terhubung, serta memeriksa log sistem untuk mendeteksi potensi penyusupan.
Sumber: Metabase
