Metabase corrige falha zero-day crítica que permite acesso administrativo sem login
A Metabase divulgou um alerta urgente sobre uma vulnerabilidade crítica em sua plataforma de business intelligence e visualização de dados, classificada com a pontuação máxima de severidade (CVSS 10.0). A falha, que ainda não recebeu identificador oficial CVE, estava sendo explorada ativamente como zero-day e permite que um atacante remoto obtenha privilégios de administrador na aplicação sem precisar passar por qualquer processo de autenticação.
De acordo com a empresa, o problema está ligado a uma possibilidade de injeção arbitrária de SQL no banco de dados interno da aplicação Metabase. Explorando essa brecha, o invasor consegue assumir o controle administrativo da plataforma. A partir desse ponto, torna-se possível modificar configurações críticas, roubar credenciais armazenadas para bancos de dados conectados, acessar informações sensíveis disponíveis por meio dessas conexões e até exportar grandes volumes de dados.
A falha foi inicialmente identificada em ataques direcionados à oferta Metabase Cloud, onde criminosos exploravam um endpoint específico da aplicação para burlar os mecanismos tradicionais de autenticação. A investigação revelou que a vulnerabilidade afetava diversas versões recentes do software, a partir da 1.58. Em resposta, a Metabase atualizou de forma emergencial todos os ambientes em nuvem sob sua responsabilidade.
No entanto, usuários que fazem uso de instalações self-hosted continuam expostos caso não tenham aplicado as correções já disponibilizadas. A orientação da empresa é que todos os administradores que mantenham o Metabase em servidores próprios ou em ambientes gerenciados por terceiros priorizem imediatamente a atualização para as versões corrigidas, uma vez que a exploração não requer credenciais válidas e pode ser realizada de forma remota.
As versões afetadas pela vulnerabilidade são:
– 1.58.0 até 1.58.23 (corrigida na 1.58.24)
– 1.59.0 até 1.59.20 (corrigida na 1.59.21)
– 1.60.0 até 1.60.16 (corrigida na 1.60.17)
– 1.61.0 até 1.61.10 (corrigida na 1.61.11)
– 1.62.0 até 1.62.8 (corrigida na 1.62.9)
– 1.63.0 até 1.63.3 (corrigida na 1.63.5)
Organizações que, por restrições operacionais, ainda não conseguem aplicar os updates de imediato foram orientadas a adotar uma medida paliativa: bloquear o endpoint `/api/session/reset_password`, identificado como vetor principal de exploração da falha. Embora essa ação não substitua a correção definitiva, ela pode reduzir a superfície de ataque enquanto as equipes de TI planejam e executam a atualização.
Depois de aplicar os patches de segurança, a Metabase recomenda um conjunto de ações de resposta e verificação para mitigar eventuais danos. Entre elas, a revogação de todas as sessões ativas, a remoção de chaves de API que não sejam reconhecidas pelos administradores, a revisão criteriosa das contas com privilégios elevados para identificar alterações suspeitas e a rotação das credenciais dos bancos de dados conectados à plataforma. Além disso, é fundamental analisar os logs do data warehouse e o histórico de atividades e consultas realizadas dentro do Metabase, em busca de sinais de uso indevido.
Para auxiliar na detecção de incidentes, a empresa também divulgou indicadores de comprometimento (IoCs). Um dos principais padrões observados em ambientes atacados é uma requisição POST para o endpoint `/api/session/reset_password` retornando código HTTP 400, seguida de uma requisição GET para `/api/user/current` com resposta 200. Segundo o CEO da Metabase, Sameer Al-Sakran, a presença dessa sequência nos logs da aplicação ou da camada de front-end (como proxies reversos e balanceadores) é um forte indício de que a instância pode ter sido comprometida.
Entre as organizações que confirmaram impacto está a fabricante de computadores Framework. A empresa relatou que dados pessoais de clientes foram expostos, incluindo nomes, endereços IP usados no momento do login, endereços físicos, números de telefone e e-mails. De acordo com o comunicado, informações referentes a pedidos e dados de pagamento permaneceram protegidas e não houve evidências de acesso não autorizado a essas bases.
O caso reforça a criticidade da plataforma Metabase dentro do ecossistema de dados das empresas. Por ser amplamente utilizada para centralizar dashboards, relatórios e integrações com diversos bancos de dados, uma brecha de segurança no Metabase tende a ter efeito em cascata, abrindo porta para o acesso indevido a múltiplas fontes de informação estratégicas. Em muitos ambientes, o Metabase fica posicionado como camada de acesso simplificado a data warehouses, bancos transacionais e sistemas internos, o que torna qualquer comprometimento especialmente sensível.
Não é a primeira vez que a solução se vê no centro de um alerta de segurança de alto impacto. Há cerca de três anos, a Metabase corrigiu a vulnerabilidade CVE-2023-38646, classificada com CVSS 9.8, que permitia execução remota de código sem autenticação em instalações vulneráveis. Esse histórico mostra que, assim como qualquer software amplamente adotado, a plataforma se tornou um alvo recorrente para grupos maliciosos em busca de acesso a ambientes corporativos.
Para as empresas que utilizam Metabase, o episódio traz algumas lições práticas. Em primeiro lugar, é essencial tratar ferramentas de BI e visualização como componentes críticos da infraestrutura de segurança, e não apenas como recursos de apoio à área de negócios. Isso implica incluí-las em rotinas formais de gestão de vulnerabilidades, com monitoramento constante de novos boletins, janelas de atualização planejadas e testes pós-atualização para garantir que os patches foram aplicados corretamente.
Outro ponto fundamental é implementar o princípio de privilégio mínimo na integração do Metabase com outros sistemas. Sempre que possível, as credenciais utilizadas pela ferramenta para acessar bancos de dados e serviços devem ter apenas as permissões estritamente necessárias para executar consultas e gerar relatórios. Reduzir privilégios não impede totalmente o impacto de uma invasão, mas limita a extensão do dano em caso de comprometimento.
Também é recomendável que as organizações adotem uma abordagem estruturada de monitoramento e auditoria. Isso inclui centralizar logs do Metabase em soluções de observabilidade ou SIEM, configurar alertas para comportamentos anômalos (como criação repentina de novos administradores, exportações massivas de dados ou acesso incomum fora do horário comercial) e revisitar periodicamente o histórico de consultas para identificar padrões estranhos, especialmente aqueles que envolvem tabelas sensíveis.
A comunicação interna é outro elemento decisivo. Equipes de segurança, times de dados e áreas de infraestrutura precisam manter um canal aberto para tratar incidentes envolvendo plataformas analíticas. Quando surge um alerta como esse, a resposta deve ser coordenada: identificar as versões em uso, verificar exposição a internet, validar se o endpoint vulnerável está acessível, aplicar correções e, em paralelo, conduzir uma análise de possível comprometimento.
Do ponto de vista estratégico, casos como o dessa falha zero-day reforçam a necessidade de um plano de resposta a incidentes voltado especificamente a vazamentos de dados. As empresas devem ter previamente definidos os fluxos de decisão para notificação de clientes, comunicação com parceiros e acionamento de times jurídicos e de conformidade, especialmente em cenários que possam envolver legislação de proteção de dados pessoais.
Por fim, a recorrência de vulnerabilidades graves em ferramentas amplamente utilizadas demonstra que a segurança em ambientes de analytics e BI não pode ser tratada como questão secundária. Organizações que dependem fortemente de visualização de dados precisam incorporar a perspectiva de segurança desde a fase de desenho da arquitetura, passando pela escolha das ferramentas, até a operação diária, garantindo que atualizações críticas como essa sejam aplicadas com máxima agilidade e com processos de verificação robustos.