Metabase-Zero-Day mit CVSS 10.0: SQL-Injection ohne Authentifizierung aktiv ausgenutzt

Metabase hat am 8. August 2026 eine maximal kritische Sicherheitslücke (CVSS 10.0) bestätigt, die bereits aktiv als Zero-Day ausgenutzt wird. Die Schwachstelle erlaubt einem unauthentifizierten Angreifer, beliebigen SQL-Code in die Metabase-Anwendungsdatenbank einzuschleusen und dadurch vollständigen Administratorzugriff auf die Instanz zu erlangen. Betroffen ist unter anderem der PC-Hersteller Framework, bei dem Kundennamen, Login-IPs, Adressen, Telefonnummern und E-Mail-Adressen abgeflossen sind.

Was ist passiert?

Metabase hat in einem Sicherheitshinweis bestätigt, dass Metabase Cloud über eine bislang unbekannte Schwachstelle angegriffen wurde. Die Lücke trägt keine eigene CVE-Nummer, wird aber mit einem CVSS-Wert von 10.0 als maximal kritisch eingestuft. Ein Angreifer kann ohne gültige Zugangsdaten SQL-Code in die Datenbank der Anwendung einschleusen und erhält dadurch Administratorrechte auf der Instanz. Mit diesem Zugriff lassen sich Konfigurationen ändern, gespeicherte Zugangsdaten für verbundene Datenbanken stehlen, sämtliche über diese Verbindungen erreichbaren Daten auslesen und exportieren.

Metabase-Cloud-Instanzen wurden bereits automatisch aktualisiert. Selbst gehostete Installationen müssen manuell gepatcht werden.

Wer ist betroffen?

Betroffen sind alle selbst gehosteten Metabase-Installationen der folgenden Versionsbereiche:

1. x.58.0 bis kleiner x.58.24 (gefixt in x.58.24)
2. x.59.0 bis kleiner x.59.21 (gefixt in x.59.21)
3. x.60.0 bis kleiner x.60.17 (gefixt in x.60.17)
4. x.61.0 bis kleiner x.61.11 (gefixt in x.61.11)
5. x.62.0 bis kleiner x.62.9 (gefixt in x.62.9)
6. x.63.0 bis kleiner x.63.5 (gefixt in x.63.5)

Nicht betroffen sind Metabase-Cloud-Kunden, deren Instanzen bereits automatisch aktualisiert wurden, sowie Installationen unterhalb der genannten Versionsreihen. Wer Metabase nur intern ohne Internet-Exposition betreibt, senkt das Risiko, ist aber nicht automatisch geschützt, da auch interne Angreifer oder kompromittierte Netzwerksegmente den Endpunkt erreichen können.

Wie kritisch ist das?

Mit einem CVSS-Wert von 10.0 handelt es sich um die höchstmögliche Einstufung. Der Angriffspfad erfordert keine Authentifizierung und keine Benutzerinteraktion. Metabase hat den temporären Workaround genannt, den Endpunkt /api/session/reset_password zu blockieren, was zeigt, dass die Lücke über diesen Pfad ausgelöst wird. Die aktive Ausnutzung ist durch den bestätigten Vorfall bei Framework belegt, nicht nur theoretisch möglich.

Was sollten Admins jetzt tun?

1. Aktuelle Metabase-Version über Admin-Panel oder Changelog prüfen und sofort auf die gefixte Version aktualisieren
2. Bis zum Update den Endpunkt /api/session/reset_password auf Netzwerkebene blockieren
3. Alle aktiven Benutzersitzungen widerrufen, indem alle Zeilen in der Tabelle core_session der Metabase-Anwendungsdatenbank gelöscht werden
4. API-Schlüssel überprüfen und unbekannte Schlüssel löschen
5. Administratorkonten auf unerwartete Änderungen kontrollieren
6. Zugangsdaten für alle verbundenen Datenbanken rotieren
7. Data-Warehouse-Logs auf unautorisierte Zugriffe prüfen
8. Metabase-Aktivitaets- und Abfrageverlauf auf ungewöhnliche Muster durchsuchen
9. Nach den bekannten Indicators of Compromise suchen: ein Aufruf von POST /api/session/reset_password mit Statuscode 400, gefolgt von GET /api/user/current mit Statuscode 200

Einordnung für Unternehmen

Metabase wird häufig als zentrales Business-Intelligence-Tool eingesetzt und ist über Datenbankverbindungen oft mit sensiblen Geschäftsdaten verknüpft. Für kleine und mittlere Unternehmen, die Metabase als Self-Hosted-Lösung betreiben, ist die Priorität hoch: Ein kompromittierter Metabase-Server kann als Sprungbrett zu allen angebundenen Datenquellen dienen. Wer Metabase öffentlich erreichbar betreibt, sollte die Prüfung heute vornehmen, nicht im nächsten Wartungsfenster.

Passende Anleitungen auf S-EDV

1. Metabase auf Synology: Business-Intelligence-Dashboards einrichten – Grundlagen zu Metabase-Setup und Datenbankanbindung, relevant für die Einschätzung der eigenen Angriffsfläche.
2. CISA KEV: Warum der Known Exploited Vulnerabilities Catalog für Admins Pflicht ist – Einordnung, wie aktiv ausgenutzte Lücken priorisiert werden sollten.

Quellen

1. The Hacker News: Metabase Zero-Day Exploited in Wild Allows Admin Access Without Authentication
2. BleepingComputer: Metabase SQLi zero-day exploited in customer data-theft attacks