MetabaseにCVSS 10.0のゼロデイ — 認証なしで管理者権限を奪う攻撃が実地悪用される

ビジネスインテリジェンス／データ可視化ツールとして広く使われるMetabaseに、最大深刻度（CVSS 10.0）のゼロデイ脆弱性が確認された。Metabaseは2026年8月6日付のセキュリティアップデートで、Metabase Cloudが未知の脆弱性（0-day）を利用した攻撃を受けたことを明らかにした。この脆弱性はCVE番号が採番されておらず、認証されていないリモートの攻撃者が、MetabaseのアプリケーションDBに対して任意のSQLを注入できる。

攻撃者ができること

この脆弱性を悪用して管理者権限を取得した攻撃者は、次の操作が可能になる。

• アプリケーションの設定変更
• 接続先データベースに保存された認証情報の窃取
• その接続経由でアクセスできるデータの読み取り
• データのエクスポート

実際に被害を受けた企業の1つに、PCメーカーのFrameworkがある。同社は顧客の氏名、ログインIP、住所、電話番号、メールアドレスにアクセスされたことを顧客へ通知した（注文情報や決済情報にはアクセスされていないとしている）。

影響を受けるバージョン

影響を受けるのはバージョンx.58.0以降で、各メジャーバージョンの最小安全リリースは次のとおり。58より前のバージョンは影響を受けない。

影響を受ける範囲	修正版
>= x.58.0, < x.58.23	x.58.24
>= x.59.0, < x.59.20	x.59.21
>= x.60.0, < x.60.16	x.60.17
>= x.61.0, < x.61.10	x.61.11
>= x.62.0, < x.62.8	x.62.9
>= x.63.0, < x.63.3	x.63.5

Metabase Cloudのインスタンスはすべて更新済みで、影響を受けない。セルフホスト環境は、即時アップグレードが推奨されている。修正を適用できるまでの暫定対策として、/api/session/reset_password エンドポイントへのアクセスをブロックする方法も案内されている。

侵害の兆候（IoC）

Metabaseは攻撃パターンを次のように公開している。

1. POST /api/session/reset_password への呼び出しが 400 ステータスを返す
2. 続けて GET /api/user/current への呼び出しが 200 ステータスを返す

MetabaseのCEO Sameer Al-Sakranは、「このパターンがアプリケーションログやingressログに見つかった場合、インスタンスは侵害されている可能性が高い」と述べている。この並びがログに残っていないか、まず確認するのが有効だ。

更新後に実施すべき手順

Metabaseは、/api/session/reset_password エンドポイントを公開していた環境では、アップグレード後に以下を実施するよう求めている。

• 全セッションの失効 — MetabaseアプリケーションDBに接続し、core_session テーブルの全行を削除する
• APIキーの確認 — 認識できないAPIキーを削除する
• 管理者アカウントの監査 — 想定外の変更がないか確認する
• 接続先DBの認証情報ローテーション — 接続しているデータベースの資格情報を変更する
• ログの確認 — データウェアハウスのログ、Metabaseのアクティビティ・クエリ履歴に不正なアクセスがないか確認する

なお、ちょうど3年前（2023年）にも、Metabaseには認証前リモートコード実行につながる「extremely severe」な脆弱性（CVE-2023-38646、CVSS 9.8）が修正されており、今回のゼロデイはその再発とも言える位置づけだ。BIツールは社内データへのゲートウェイになるため、セルフホスト環境は更新状況の確認を最優先で進めたい。

認証情報を保管するアプリケーションの脆弱性は、そのまま「組織のデータへの入り口」になる。今回のゼロデイは、セルフホスト型BIツールの更新管理がセキュリティの要であることを改めて示している。

出典: Metabase — Security update available for Metabase - Please upgrade now / Metabase Security Advisory（GitHub）