Metabase'deki CVSS 10 açık için yeni uyarı: aktif istismar sürüyor, PoC herkese açık
Singapur Siber Güvenlik Ajansı (CSA), Metabase'de kimlik doğrulamasız SQL injection ile yönetici erişimi sağlayan CVE-2026-72898 için uyarı yayımladı. Metabase istismarı Ağustos'ta doğrulamıştı; CSA'ya göre artık herkese açık bir PoC da bulunuyor ve patch'lenmemiş sunucular risk altında.
CVE-2026-72898
Singapur Siber Güvenlik Ajansı (CSA), 4 Kasım'da yayımlayıp 6 Kasım'da güncellediği uyarıda, açık kaynak iş zekâsı aracı Metabase'deki CVE-2026-72898 açığının aktif olarak istismar edildiğini ve herkese açık bir proof-of-concept (PoC) bulunduğunu bildirdi. CVSS 3.1 puanı 10.0 olan açık, herkese açık bir endpoint üzerinden kimlik doğrulamasız SQL injection yapılmasına ve saldırganın Metabase örneğinde yönetici erişimi elde etmesine imkân veriyor.
Açık yeni değil: Metabase, 6 Ağustos 2026'daki güvenlik bülteninde patch'leri yayımlamış ve istismarı kendisi doğrulamıştı. Şirkete göre saldırılar 1.58 ve üzeri sürümleri hedef aldı; Metabase Cloud ortamı o tarihte patch'lendi. CSA uyarısı, aradan geçen üç aya rağmen internete açık ve güncellenmemiş kendi barındırılan (self-hosted) kurulumların hâlâ hedefte olduğunu gösteriyor. Metabase genellikle veri ambarlarına ve üretim veritabanlarına bağlı olduğundan, ele geçirilen bir yönetici hesabı bağlı veri kaynaklarına da kapı açabilir. Açığın CISA KEV kataloğunda olup olmadığı bu haberin yazıldığı saatte doğrulanamadı; kev: evet işareti üreticinin ve CSA'nın aktif istismar doğrulamasına dayanıyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Metabase (açık kaynak) | 0.58.0 – 0.58.23 | 0.58.24 |
| Metabase (açık kaynak) | 0.59.0 – 0.59.20 | 0.59.21 |
| Metabase (açık kaynak) | 0.60.0 – 0.60.16 | 0.60.17 |
| Metabase (açık kaynak) | 0.61.0 – 0.61.10 | 0.61.11 |
| Metabase (açık kaynak) | 0.62.0 – 0.62.8 | 0.62.9 |
| Metabase (açık kaynak) | 0.63.0 – 0.63.4 | 0.63.5 |
| Metabase Enterprise | 1.58 – 1.63 dalları (aynı aralıklar) | 1.58.24, 1.59.21, 1.60.17, 1.61.11, 1.62.9, 1.63.5 |
| Metabase Cloud | — | Üretici tarafından patch'lendi |
Düzeltilmiş sürümler GitHub bültenindeki listeden alınmıştır. Bülten aralıkları "x." gösterimiyle veriyor; kesin aralık için üretici bildirimindeki listeye bakın. Metabase'e göre 58'in altındaki sürümler etkilenmiyor.
Beni etkiliyor mu?
- Sürümü arayüzden kontrol edin: Yönetici ayarları › Sorun giderme (Troubleshooting) sayfası ya da sağ üstteki ayarlar menüsü › Metabase hakkında.
- Docker ile çalıştırıyorsanız imaj etiketini görün:
docker ps --format "{{.Image}}" | grep -i metabase- Reverse proxy ya da web sunucusu erişim kayıtlarında, üreticinin işaret ettiği endpoint'e gelen istekleri arayın:
grep "/api/session/reset_password" /var/log/nginx/access.logMetabase'in bülteninde belirttiğine göre, bu endpoint'e 400 dönen bir POST isteğinin ardından /api/user/current adresine 200 dönen bir GET isteği gelmesi, ele geçirilme belirtisi olabilir. Kayıt yolu ortamınıza göre değişir.
Ne yapılmalı?
- Kullandığınız daldaki düzeltilmiş sürüme (tabloya bakın) hemen geçin. İnternete açık örnekleri önceliklendirin.
- Hemen güncelleyemiyorsanız, üreticinin önerdiği geçici önlem (workaround) olarak
/api/session/reset_passwordendpoint'ine dışarıdan erişimi reverse proxy ya da WAF üzerinde engelleyin. - Bu endpoint internete açıksa, güncellemeden sonra üreticinin önerdiği adımları uygulayın: tüm oturumları geçersiz kılın (Metabase bülteni bunun için uygulama veritabanındaki oturum tablosunun temizlenmesini tarif ediyor), tanımadığınız API anahtarlarını silin ve yönetici hesaplarında beklenmeyen değişiklik olup olmadığını inceleyin.
- Metabase'e bağlı veritabanlarının ve veri ambarlarının kimlik bilgilerini yenileyin; veri ambarı kayıtlarını ve Metabase etkinlik/sorgu geçmişini olağan dışı sorgular için gözden geçirin.
- Herkese açık PoC'yi üretim sistemlerinde denemeyin; doğrulamayı sürüm ve kayıt kontrolüyle yapın. Değişiklikleri change management sürecinize kaydedin.
