Zero-Day Eksploitasi Metabase

Zero-Day Eksploitasi Metabase – Metabase memperingatkan adanya kerentanan keamanan tingkat maksimum pada perangkat lunak business intelligence dan visualisasi data mereka yang telah dieksploitasi di dunia nyata sebagai zero-day.

Kerentanan ini memiliki CVSS 10.0, tetapi hingga informasi dalam laporan tersebut dipublikasikan, belum memiliki nomor CVE.

Celah tersebut memungkinkan penyerang jarak jauh yang tidak terautentikasi menyisipkan perintah SQL secara arbitrer ke database aplikasi Metabase.

Jika berhasil dieksploitasi, serangan tidak berhenti pada akses database, penyerang dapat memperoleh hak administrator terhadap instance Metabase.

Dan kemudian menggunakan akses tersebut untuk:

• Mengubah konfigurasi.
• Mencuri kredensial database yang tersimpan.
• Membaca data yang dapat diakses melalui koneksi tersebut.
• Hingga mengekspor data.

Bagaimana Serangan Ini Terjadi?

Metabase merupakan platform yang digunakan organisasi untuk mengolah, menganalisis, dan memvisualisasikan data dari berbagai sumber database.

Kerentanan zero-day tersebut memungkinkan penyerang melakukan serangan tanpa harus terlebih dahulu memiliki akun atau kredensial yang sah.

Secara sederhana, rantai serangannya dapat digambarkan:

Akses tanpa autentikasi → injeksi SQL → akses administrator → akses kredensial database → membaca dan mengekspor data

Kondisi tersebut menjadikan kerentanan sangat berbahaya bagi organisasi yang menjalankan Metabase untuk mengakses data bisnis penting.

Metabase menyatakan bahwa mereka menemukan instance Metabase Cloud telah diserang menggunakan kerentanan yang sebelumnya tidak diketahui tersebut pada versi 1.58 dan yang lebih baru.

Data Apa yang Berisiko?

Dampak terbesar bukan hanya terhadap aplikasi Metabase itu sendiri. Setelah memperoleh hak administrator, penyerang berpotensi:

• Mengubah konfigurasi Metabase.
• Mengakses kredensial database yang tersimpan.
• Membaca data dari database yang terhubung.
• Mengekspor data.
• Mengakses informasi bisnis yang tersedia melalui koneksi Metabase.
• Memanfaatkan kredensial database untuk memperluas dampak serangan.

Artinya, Metabase dapat menjadi pintu masuk menuju sumber data lain yang terhubung dengannya.

Semakin banyak database dan layanan yang terhubung ke sebuah instance Metabase, semakin besar pula potensi dampak apabila instance tersebut berhasil dikompromikan.

Versi yang Terdampak

Metabase menyebut sejumlah versi yang terdampak dan versi perbaikannya:

Versi terdampak Perbaikan

• ≥ x.58.0 dan < x.58.23 x.58.24
• ≥ x.59.0 dan < x.59.20 x.59.21
• ≥ x.60.0 dan < x.60.16 x.60.17
• ≥ x.61.0 dan < x.61.10 x.61.11
• ≥ x.62.0 dan < x.62.8 x.62.9
• ≥ x.63.0 dan < x.63.3 x.63.5

Metabase Cloud telah diperbarui ke versi terbaru. Sementara itu, pengguna yang menjalankan Metabase secara self-hosted diminta segera menerapkan pembaruan keamanan yang telah disediakan.

Yang Harus Dilakukan Pengguna Metabase?

Jika organisasi Anda menjalankan Metabase secara self-hosted, prioritas pertama adalah melakukan pembaruan ke versi yang telah diperbaiki.

Apabila pembaruan belum dapat dilakukan segera, Metabase menyarankan sebagai langkah sementara untuk memblokir endpoint /api/session/reset_password.

Namun, pemblokiran tersebut hanya merupakan langkah sementara. Sistem yang menjalankan versi rentan tetap harus diperbarui sesegera mungkin.

Jangan Hanya Memperbarui

Salah satu hal penting dari insiden ini adalah bahwa organisasi tidak cukup hanya melakukan patching.

Karena kerentanan telah diketahui dieksploitasi secara aktif, administrator perlu mempertimbangkan kemungkinan bahwa instance mereka sudah pernah disusupi sebelum pembaruan diterapkan.

Metabase memberikan pola aktivitas yang dapat digunakan sebagai indikator kompromi.

Perhatikan kombinasi:

POST /api/session/reset_password → status 400

yang kemudian diikuti:

GET /api/user/current → status 200

Jika pola tersebut ditemukan dalam log aplikasi atau log ingress server Metabase, Metabase menyatakan bahwa instance tersebut kemungkinan telah dikompromikan.

Jika Menemukan Indikator Kompromi

Setelah melakukan pembaruan, organisasi yang menemukan pola mencurigakan disarankan melakukan pemeriksaan lebih lanjut.

Beberapa langkah yang direkomendasikan Metabase meliputi:

1. Cabut seluruh sesi pengguna yang masih aktif.

Akses database aplikasi Metabase dan hapus seluruh baris pada tabel core_session.

2. Periksa API key.

Identifikasi dan hapus API key yang tidak dikenal atau tidak seharusnya ada.

3. Periksa akun administrator.

Pastikan tidak terdapat akun administrator baru atau perubahan akun yang tidak dilakukan oleh pihak berwenang.

4. Ganti kredensial database.

Lakukan rotasi kredensial untuk database yang terhubung dengan Metabase.

5. Periksa log data warehouse.

Cari aktivitas akses data yang tidak dikenal atau tidak sesuai dengan aktivitas normal.

6. Periksa aktivitas dan riwayat query Metabase.

Cari query, aktivitas, atau akses data yang tidak dilakukan oleh pengguna yang sah.

Langkah-langkah tersebut penting karena memperbaiki kerentanan tidak otomatis menghapus akses yang mungkin sudah diperoleh penyerang sebelumnya.

Insiden Sudah Berdampak pada Perusahaan

Salah satu perusahaan yang dilaporkan terdampak adalah Framework.

Menurut laporan yang dikutip dalam artikel sumber, perusahaan tersebut memberi tahu pelanggannya bahwa sejumlah informasi telah diakses dalam insiden tersebut, termasuk:

• Nama pelanggan;
• Alamat IP saat login;
• Alamat;
• Nomor telepon;
• Alamat email.

Namun, informasi mengenai pesanan dan pembayaran tidak ikut diakses, berdasarkan pemberitahuan perusahaan tersebut.

Kasus ini menunjukkan bahwa kompromi terhadap platform analitik dapat berdampak pada data yang berada di luar aplikasi itu sendiri, terutama ketika platform memiliki koneksi ke berbagai sumber data organisasi.

Zero-Day Bukan Masalah Biasa

Yang membuat kasus Metabase ini sangat serius bukan hanya skor CVSS 10.0, tetapi kombinasi beberapa faktor: kerentanan belum diketahui sebelumnya, dapat dieksploitasi tanpa autentikasi, memungkinkan peningkatan hak akses hingga administrator, dan telah digunakan dalam serangan nyata.

Organisasi yang menggunakan Metabase perlu memperlakukan kasus ini sebagai insiden berisiko tinggi, bukan sekadar pembaruan software rutin.

Prioritasnya jelas: perbarui Metabase, periksa log, cari indikator kompromi, cabut sesi yang mencurigakan, tinjau akun dan API key, serta lakukan rotasi kredensial database apabila diperlukan.

Terlebih lagi, Metabase pernah menghadapi kerentanan kritis sebelumnya. Tiga tahun lalu, platform tersebut juga harus menangani CVE-2023-38646 dengan skor CVSS 9.8 yang berpotensi memungkinkan pre-authenticated remote code execution pada instalasi yang terdampak.

Pelajaran penting dari kasus ini adalah bahwa platform analitik dan business intelligence harus diperlakukan sebagai aset keamanan penting.

Ketika sebuah aplikasi memiliki akses ke banyak database dan data organisasi, kompromi terhadap aplikasi tersebut dapat berubah menjadi kompromi terhadap ekosistem data yang jauh lebih luas.

Sumber berita:

WeLiveSecurity