Unbefugter Zugriff auf Kundendaten Zero-Day-Schwachstelle in Metabase ausgenutzt

Anbieter zum Thema

cidaas by Widas ID GmbH

FAST LTA GmbH

FTAPI Software GmbH

Angreifer haben eine kritische SQL-Schwachstelle in Metabase ausgenutzt und auf Kundeninstanzen zugegriffen. Cloud-Instanzen sind gepatcht, selbst gehostete Systeme sollten umgehend aktualisiert werden.

Metabase, Hersteller einer quelloffenen Datenanalyse-Software hat bekannt gegeben, dass Cy­ber­kri­mi­nel­le eine unbekannte Sicherheitslücke ausnutzten, um sich Zugriff auf Kun­den­in­stan­zen zu verschaffen. Die Schwachstelle wird als EUVD-2026-55690 / CVE-2026-72898 (CVSS-Score 10.0, EPSS-Score^* 0.69) geführt.

Metabase erläutert sie im Update als eine SQL-Anfälligkeit in der Metabase Cloud in den Enterprise-Versionen 1.58 und höher und stufte die Schwachstelle vorab ebenfalls als maximal kritisch ein. Zudem habe der Hersteller die für den Angriff verwendeten Endpunkte sofort blockiert, die Schwachstelle identifiziert und behoben. Die Instanzen der Cloud-Kunden seien bereits aktualisiert und gepatcht. Self-hosted Instanzen könnten noch verwundbar sein.

Statische Zugangsdaten

Cisco warnt vor aktiv ausgenutzter FMC-Schwachstelle

Patches, Schutzmaßnahmen und IoCs

Die SQL-Zero-Day könne ohne Authentifizierung ausgenutzt werden und Angreifern sogar Administratorenzugriff auf anfällige Kundeninstanzen ermöglichen. Dadurch könnten sie die Anwendungskonfiguration ändern, gespeicherte Zugangsdaten für verbundene Datenbanken entwenden, über diese Verbindungen zugängliche Daten lesen sowie Daten exportieren. Mittlerweile laufen aktive Angriffe über EUVD-2026-55690 / CVE-2026-72898. Die CISA hat die Schwachstelle am 11. August 2026 in ihren KEV-Katalog aufgenommen.

Alle betroffenen Zweige der Open-Source-Edition 0.58 bis 0.63 wurden durch den Hersteller abgesichert. Als sicher gelten die Versionen 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 und 0.63.5.

Metabase empfiehlt Kunden, die das System selbst hosten, eine sichere Version zu installieren. Weitere Schutzmaßnahmen sind laut Hersteller:

• alle aktiven Benutzersitzungen beenden

• API-Schlüssel und Administratorenkonten auf unbefugte Änderungen überprüfen

• Zugangsdaten für angebundene Datenbanken ändern

• Protokolle und Abfrageverläufe auf Anzeichen einer Kompromittierung untersuchen

Nutzer, die nicht sofort Upgraden können, sollten den Zugriff auf den Endpunkt „/api/session/reset_password“ vorübergehend sperren. Angriffe würden sich daran erkennen lassen, dass eine POST-Anfrage an diesen Endpunkt den Statuscode 400 zurückgebe, gefolgt vn einer erfolgreichen GET-Anfrage an „/api/user/current“.

Patch Bypass

Hacker umgehen Patch mit neuer FortiOS-Sicherheitslücke

Alle Framework-Nutzer betroffen

Einem Reddit-Feed nach, waren vor allem Kunden des Notebook-Herstellers Framework von dem Sicherheitsvorfall betroffen. Demnach hätten die Angreifer folgende Kunden-In­for­ma­ti­onen über die Metabase-Schwachstelle einsehen können:

• vollständige Namen

• E-Mail-Adressen

• Login-IPs

• Rechnungs- und Lieferadressen

• Telefonnummern

• Unternehmensnamen

Weitere personenbezogene Daten, Bestellinformationen und Zahlungsinformationen seien nicht abgeflossen. Techcrunch berichtet, Framework-Sprecher Eric Schumacher habe kommentiert, dass alle Kunden von dem Datenleck betroffen seien. Eine genaue Zahl habe er nicht genannt. Während die Computer des Herstellers als Nische gelten, könnten dennoch Hunderttausende verkaufte Geräte anfällig sein.

Bleeping Computer schreibt, Framework habe mitgeteilt, dass Angreifer die Zero-Day-Schwachstelle am 3. August ausgenutzt hätten und Metabase Framework am 6. August darüber informiert habe. Der News nach haben auch Tally, Anbieter für die Erstellung von Online-Formularen, sowie der Informationsdienstleister Lexisnexis ihre Nutzer über den Vorfall bei dem Drittanbieter informiert.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

Alle Kundenkonten betroffen

E-Scooter-Anbieter Ryde bestätigt Cyberangriff

(ID:50924118)