Metabase Zero-Day (CVSS 10.0): Kritische SQL-Lücke aktiv ausgenutzt – jetzt patchen

Ein Metabase Zero-Day mit dem Höchstwert CVSS 10.0 wird derzeit aktiv ausgenutzt. Die kritische SQL-Injection-Lücke erlaubt es nicht angemeldeten Angreifern, Admin-Zugriff auf eine Metabase-Instanz zu erlangen. Betreiber der beliebten Open-Source-Analyseplattform sollten deshalb sofort handeln.

Metabase Zero-Day: Was Angreifer ausnutzen

Metabase machte den Angriff am Donnerstag öffentlich. Demnach wurde zunächst die eigene Cloud-Plattform über eine bis dahin unbekannte Schwachstelle kompromittiert. Betroffen sind laut Hersteller alle Versionen ab 1.58 – und ausdrücklich auch selbst gehostete Installationen.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

Die Lücke sitzt in der Passwort-Reset-Funktion. Über den Endpunkt /api/session/reset_password lässt sich beliebiger SQL-Code in die Anwendungsdatenbank einschleusen, ganz ohne Anmeldung. Damit erlangt ein Angreifer Administratorrechte. Anschließend kann er die Konfiguration ändern, gespeicherte Zugangsdaten der angebundenen Datenbanken stehlen sowie sämtliche erreichbaren Daten lesen und exportieren.

Ein CVE-Kürzel hat die Schwachstelle noch nicht. Metabase stuft sie im eigenen Advisory (GHSA-vwf4-m7j8-wcjf) aber als kritisch mit CVSS 10.0 ein und bestätigt die aktive Ausnutzung.

Betroffene Versionen und sichere Releases

Fixes stehen für alle gepflegten Zweige von 0.58 bis 0.63 bereit. Die Nummer 1.58 bezeichnet dabei die Enterprise-Zählung, 0.58 die Open-Source-Zählung derselben Version. Die minimal sicheren Versionen lauten:

• 0.58.24
• 0.59.21
• 0.60.17
• 0.61.11
• 0.62.9
• 0.63.5

Cloud-Kunden wurden nach Herstellerangaben bereits automatisch aktualisiert. Wer Metabase selbst betreibt, muss dagegen manuell patchen. Ist ein sofortiges Update nicht möglich, empfiehlt Metabase, den Zugriff auf den Endpunkt /api/session/reset_password vorübergehend zu sperren.

Sofortmaßnahmen für Selfhosting-Betreiber

Ein Update allein reicht nicht. Weil die Lücke bereits ausgenutzt wird, sollten Betreiber ihre Instanz als potenziell kompromittiert behandeln. Metabase rät konkret dazu, umgehend zu aktualisieren, alle aktiven Sitzungen zu widerrufen, API-Schlüssel und Administratorkonten auf unbefugte Änderungen zu prüfen, die Zugangsdaten aller angebundenen Datenbanken zu rotieren und die Log- und Abfrage-Historie auf Spuren zu durchsuchen.

Als Angriffsmuster nennt der Hersteller eine POST-Anfrage an /api/session/reset_password, die mit Status 400 antwortet, gefolgt von einer erfolgreichen GET-Anfrage (Status 200) an /api/user/current. Wichtig: Wer solche Dienste selbst hostet, trägt die Verantwortung für Updates und Härtung allein – ein Grund mehr, die eigene Selfhosting- und Heimserver-Umgebung von Anfang an sauber abzusichern.

Erste Opfer bestätigen Datendiebstahl

Dass es nicht bei der Theorie bleibt, zeigen konkrete Fälle. Der Laptop-Hersteller Framework bestätigte, dass Angreifer über die kompromittierte Metabase-Instanz Kundendaten erbeutet haben – darunter Namen, E-Mail-Adressen, Login-IP-Adressen sowie Rechnungs- und Versandadressen, Telefonnummer und Firmenname. Bestell- oder Zahlungsdaten waren nach Angaben von Framework nicht betroffen. Laut Framework wurde die Instanz bereits am 3. August erreicht; die Benachrichtigung durch Metabase erfolgte am 6. August.

Auch der Formular-Anbieter Tally meldete einen Zugriff auf seine Analyse-Umgebung und damit auf E-Mail-Adressen und Passwort-Hashes seiner Nutzer. Der Datenkonzern LexisNexis erklärte zudem, seine Metabase-API sei von einem Angriff bei einem Drittanbieter betroffen gewesen. Die Fälle machen deutlich, wie schnell aus einer Analyse-Software ein Einfallstor für weitreichenden Datendiebstahl wird.

Quellen

• BleepingComputer: Metabase SQLi zero-day exploited in customer data-theft attacks (7.8.2026)
• Metabase Security Advisory GHSA-vwf4-m7j8-wcjf
• Metabase: Security Update (Hersteller-Blog)