Metabase BI tarkvarast leitud kriitiline turvahaavatavus kutsub kasutajaid üles võimalikult kiiresti värskendama

Laialdaselt kasutatav äriteabe ja andmete visualiseerimise tarkvara Metabase avalikustas hiljuti kriitilise turvaauku, mis kujutab endast olulist kasutajariski. Viga on klassifitseeritud kui "äärmiselt tõsine" ja see võib mõjutatud süsteemides kaasa tuua koodi eelautentimise kaugkäivituse. Turvaauku jälgitakse kui CVE-2023-38646 ja see mõjutab avatud lähtekoodiga Metabase versioone enne versiooni 0.46.6.1 ja Metabase Enterprise'i versioone enne versiooni 1.46.6.1. Ettevaatusabinõuna peavad kõik kasutajad värskendama Metabase uusimale versioonile, et leevendada selle turbeprobleemiga seotud võimalikke riske.

Hiljutisesnõuandes paljastas Metabase kriitilise turvavea, mis võimaldab ründajal täita metabaasi serveris suvalisi käske ilma autentimiseta, saades volitamata juurdepääsu samade õigustega. Vaatamata tõendite puudumisele aktiivse ärakasutamise kohta näitavad Shadowserver Foundationi murettekitavad andmed, et 26. juuli 2023 seisuga on 5488 metabaasi eksemplari 6936-st haavatavad. Juhtumid on levinud Ameerika Ühendriikides, Indias, Saksamaal, Prantsusmaal, Ühendkuningriigis ja Brasiilias , ja Austraalia. Kasutajad peavad selle probleemiga kiiresti tegelema, värskendades uusimatele versioonidele, et kaitsta oma süsteeme võimalike riskide ja volitamata juurdepääsu eest tundlikele andmetele.

Tarkvaravigu otsiv ja neist teatav ettevõte Assetnote leidis probleemi metabaasist ja andis neile teada. Probleem on seotud sellega, kuidas tarkvara ühendub andmebaasiga, ja see mõjutab tarkvara konkreetset osa nimega "/API/setup/validates". Halvad näitlejad võivad seda nõrkust ära kasutada, kasutades selleks spetsiaalselt loodud päringut, mis meelitab tarkvara andmebaasidraiverit nimega H2 lubama volitamata juurdepääsu. See võib anda neile süsteemi üle kontrolli ja võimaluse kaugkäsklusi täita.

Kasutajate jaoks, kes ei saa plaastreid kohe paigaldada, on ülioluline võtta täiendavaid kaitsemeetmeid. Süsteemi kaitsmiseks on väga soovitatav blokeerida kõik päringud haavatavale lõpp-punktile "/API/setup". Lisaks on parem isoleerida mõjutatud metabaasi eksemplar juhtivast tootmisvõrgust, et piirata selle kokkupuudet. Seda tehes on potentsiaalsetel ründajatel haavatavale lõpp-punktile juurdepääs keerulisem. Lisaks on oluline tähelepanelik jälgida tuvastatud lõpp-punkti kahtlaste päringuid. See aitab tuvastada volitamata katseid haavatavust ära kasutada ja võtta õigeaegselt meetmeid võimalike rünnakute ärahoidmiseks.

Metabase BI tarkvarast leitud kriitiline turvahaavatavus kutsub kasutajaid üles võimalikult kiiresti värskendama ekraanipilti