Metabase の SQLi の脆弱性 CVE-N/A が FIX：顧客インスタンスへのゼロデイ攻撃とデータ窃取

Metabase SQLi zero-day exploited in customer data-theft attacks

2026/08/07 BleepingComputer — Metabase に存在する深刻な SQL インジェクション脆弱性が顧客インスタンスへのゼロデイ攻撃で悪用され、データ窃取が生じており、Framework と Tally の Metabase 環境も影響を受けたことが確認されている。この攻撃について Metabase は 8月6日 (木) にこの問題を公表し、バージョン x.58 以降に影響を及ぼす未知の脆弱性を通じて Metabase Cloud SaaS プラットフォームが侵害されたと警告している。セルフホスト型のインスタンスも脆弱であると、同社は指摘している。

Metabase の CEO である Sameer Al-Sakran は、「Metabase のバージョン x.58 以降に存在する未知の脆弱性を悪用する脅威アクターにより、Metabase Cloud が攻撃されたことを特定した」とブログ投稿で警告しており、この脆弱性は Metabase に存在する未認証 SQL インジェクションの欠陥で、顧客インスタンスへの管理者アクセスをリモート攻撃者に許す可能性がある。

すでに Metabase は、攻撃に使用されたエンドポイントをブロックし、この脆弱性に対する修正を直ちに適用している。また、同社はこの脆弱性に CVE 識別子を付与していないものの、セキュリティ・アドバイザリでは Critical とされ、CVSS スコアは 10.0 であり、アクティブに悪用されていることも確認されている。

関連するセキュリティ・アドバイザリには、「この脆弱性を悪用する未認証のリモート攻撃者は、Metabase アプリケーション・データベースに任意の SQL を注入できる。この脆弱性により、インスタンスの管理者権限が奪取される可能性がある」と記されており、攻撃者はそれにより、アプリケーション構成の変更／接続されたデータベースに保存されている認証情報の窃取／アクセス可能な任意のデータの読み取りを通じてデータをエクスポートできる。

Metabase は、ユーザー組織がセルフホストするソフトウェアとしても、同社がマネージド型 SaaS として提供する Metabase Cloud としても利用でき、Metabase によると、Cloud 顧客に対してはすでにアップグレードとパッチ適用が完了している一方、脆弱なセルフホスト型インストールを実行している組織は手動でアップグレードする必要がある。

この SQLi の脆弱性は、影響を受けるバージョンである x.58 ～ x.63 に修正が適用されており、修正が施された安全なリリースは x.58.24／x.59.21／x.60.17／x.61.11／x.62.9／x.63.5 である。直ちにアップグレードできない組織には、アップデートを適用できるまで、/api/session/reset_password エンドポイントへのアクセスを一時的にブロックすることが推奨されている。

セルフホスト型の顧客に対して Metabase が強く求めるのは速やかなアップグレードであり、その上で、すべてのアクティブなユーザー・セッションの取り消し／API キーと管理者アカウントにおける不正な変更の確認／接続されたデータベースの認証情報の変更／ログとクエリ履歴における侵害の兆候の検査が推奨される。

同社によると、この攻撃は /api/session/reset_password への POST リクエストが 400 ステータス・コードを返し、その後に /api/user/current への成功した GET リクエストが続くことで特定でき、これらのエントリを示すシステム・ログが存在する場合には、侵害されている可能性が高いと Metabase は警告している。

顧客が Metabase データ窃取攻撃を開示

Metabase インスタンスが攻撃者に侵害された後、顧客情報が盗まれたことを確認した企業の 1 つにノート PC メーカーの Framework があり、顧客に送信された侵害通知の中で、このインシデントにより攻撃者が顧客情報を盗み出せる状況にあったと述べている。盗まれたデータには、氏名／メール・アドレス／ログイン IP アドレス／請求先情報／配送先情報／電話番号／会社名などが含まれ、Framework for Business の顧客については、会社名／電話番号／VAT／EIN／請求先メール・アドレスも含まれる可能性がある。

Framework によると、8月6日に Framework へ通知した Metabase は、対象となるインスタンスがゼロデイに対して脆弱であり、8月3日に攻撃者によりアクセスされたと伝えた。

人気のオンライン・フォーム作成サービスである Tally も、同社の Metabase 分析環境が 8月3日に侵害されたとユーザーに通知しており、それにより攻撃者はエンドユーザーのメール・アドレスと、暗号学的ハッシュとして保存されたパスワードにアクセスできる状態になった。ただし、ハッシュは一方向であるため、平文のパスワードを復元することはできない。また、エンドユーザーのフォームや、そこへ送信された回答にはアクセスされておらず、それらは別個に保存されている。

BleepingComputer は Tally に対して、使用されていたパスワード・ハッシュのアルゴリズムと、露出したパスワード・ハッシュに対するソルトの付与について質問したが、この記事の公開時点では回答を受け取っていない。

BleepingComputer と共有されたメールの中で LexisNexis は、サードパーティ・ベンダーの 1 社がサイバー攻撃の影響を受けたと顧客へ警告しており、Metabase API の関与を明示していない一方、自社の Metabase API が攻撃の影響を受けたと述べている。LexisNexis のメールには、「Diligence／Metabase API／Newsdesk の影響によるサービス中断について、最新情報をお知らせするために連絡している」と記されている。

同社は、「今週の初めに、サードパーティ・ベンダーによりホスティングされているサーバ上で、異常なアクティビティを特定した。顧客を保護し、問題を発生源で封じ込めるために、サードパーティ・システムから自社システムを切断するという即時の判断を下した」と述べており、システムをオフラインにしたことで影響を受けたアプリケーションが利用不能となったものの、調査を行う上で必要な措置だったとしている。

攻撃中に顧客データが露出したかどうかは不明であるが、このインシデントを調査するために、サイバーセキュリティ・フォレンジック企業と協力していると、同社は述べている。

Metabase バージョン x.58 以降において、未認証で実行可能な SQL インジェクションの欠陥が確認されました。この問題が悪用されると、管理者権限の不正取得やシステム内の重要な情報が外部へ流出する恐れがあります。実際に SaaS 環境やセルフホスト環境においてゼロデイ攻撃による被害が発生しています。安全に利用するためにも、セルフホスト環境の運用担当者にとっては、修正済みバージョンへの早期更新が必要になります。即時の対応が難しい場合には、特定の通信経路を遮断する代替策を実施し、アクティブセッションの無効化やログの監査を進めることが推奨されます。