CVE-2026-72898 — Metabase: Pano ele geçince asıl kayıp arkadaki veri ambarı
Metabase'deki CVSS 10 açık üç aydır biliniyor, patch'i hazır, PoC'si açıkta. Kara Şahin, iş zekâsı panosunun neden bir veritabanı anahtarlığı gibi korunması gerektiğini ve bugün nerede iz aranacağını anlatıyor.
Bazı açıklar gürültüyle gelir, bazıları sessizce bekler. Metabase'deki CVE-2026-72898 ikinci türden. Üretici patch'i 6 Ağustos'ta yayımladı ve istismarı o gün kendisi doğruladı. Üç ay sonra Singapur Siber Güvenlik Ajansı yeni bir uyarı yayımlamak zorunda kaldı: istismar sürüyor ve artık herkese açık bir PoC var. Yani bu açığı kullanmak için ustalık gerekmiyor; geride kalmış sunucu yetiyor.
Ne oluyor?
Açığın sınıfı kimlik doğrulamasız SQL injection. Herkese açık bir endpoint üzerinden tetikleniyor ve saldırgana Metabase örneğinde yönetici erişimi veriyor. CVSS 3.1 puanı 10.0. Üreticiye göre saldırılar 58 ve üzeri dalları hedef aldı; düzeltilmiş sürümler her dal için ayrı yayımlandı, liste üretici bildiriminde. Metabase Cloud üretici tarafından patch'lendi. Risk altında olan, internete açık ve kendi barındırılan (self-hosted) kurulumlar.
Bu noktada çoğu ekip yanılıyor: Metabase'i "raporlama aracı" diye kenara koyuyor. Oysa bir iş zekâsı panosu, kurumun en değerli veri kaynaklarına bağlı duran bir anahtarlıktır. Üretim veritabanı, veri ambarı, bazen müşteri tablosunun tamamı aynı yönetici ekranından görülür.
Saldırgan ne kazanıyor?
Yönetici erişimiyle saldırgan panoyu değil, panonun arkasındaki bağlantıları ele geçirir. Bağlı veri kaynaklarında sorgu çalıştırabilir, kullanıcı ve yetki yapısını değiştirebilir, kalıcılık için kendine API anahtarı tanımlayabilir. Haberimizde de altını çizdiğimiz gibi, ele geçirilen bir yönetici hesabı bağlı veri kaynaklarına kapı açabilir. Saldırı ayrıntısına girmeyeceğim; önemli olan zincirin sonucu: tek bir unutulmuş sunucu, veri ambarına uzanan bir köprüye dönüşüyor.
Avlanma notları
Üreticinin işaret ettiği iz basit ve değerli: parola sıfırlama endpoint'ine gelen ve 400 dönen bir POST isteğinin hemen ardından, aynı kaynaktan oturum açmış kullanıcı bilgisini isteyen ve 200 dönen bir GET isteği. Bu ikili, ele geçirilme belirtisi olabilir. Reverse proxy kayıtlarında ilk adım için salt okunur bir arama yeterli:
grep "/api/session/reset_password" /var/log/nginx/access.logBuna ek olarak şunlara sözle bakın: tanımadığınız yönetici hesapları ya da yetki yükseltmeleri, kimsenin hatırlamadığı API anahtarları, Metabase'in sorgu geçmişinde mesai dışı büyük okuma sorguları, veri ambarı tarafında Metabase servis hesabından gelen alışılmadık tablo erişimleri. Kayıt yolu ortamınıza göre değişir; Ağustos başından bugüne kadar olan dönemi tarayın, çünkü istismar o tarihten beri doğrulanmış durumda.
Bugün yapılacaklar
- Envanter: kurumda kaç Metabase örneği olduğunu ve hangisinin internete açık olduğunu çıkarın. Ekiplerin kendi kurduğu "geçici" panoları unutmayın.
- Kullandığınız daldaki düzeltilmiş sürüme geçin; internete açık örnekler önce.
- Hemen güncelleyemiyorsanız üreticinin önerdiği geçici önlemi uygulayın: parola sıfırlama endpoint'ine dışarıdan erişimi reverse proxy ya da WAF katmanında kapatın.
- Endpoint açık kaldıysa ihlal varsayımıyla ilerleyin: oturumları geçersiz kılın, bilinmeyen API anahtarlarını silin, bağlı veri kaynaklarının kimlik bilgilerini yenileyin.
- Herkese açık PoC'yi üretimde denemeyin. Doğrulamayı sürüm ve kayıt kontrolüyle yapın, değişiklikleri change management kaydına geçirin.
Avcının notu
Üç aylık bir açığın hâlâ av bulması, saldırganların değil bizim temposuzluğumuzun hikâyesi. Patch Tuesday'e bir gün kala dikkat doğal olarak büyük üreticilere kayacak; ama av çoğu zaman listenin dışında, birinin bir gün "hızlıca rapor alalım" diye kurduğu panoda bekler. Panoyu değil, arkasındaki veriyi koruduğunuzu unutmayın.
