Thought Leadership
Die Erpressergruppe ShinyHunters führt die Analytics-Plattform Metabase als Opfer auf. Zuvor nutzten Angreifer eine kritische Zero-Day-Schwachstelle aus.
Die Business-Intelligence- und Datenanalyse-Plattform Metabase, die weltweit von mehr als 100.000 Organisationen genutzt wird, ist Ziel eines Angriffs über eine bislang unbekannte Sicherheitslücke geworden. Metabase informierte seine Kunden am 6. August 2026 über die Ausnutzung einer Zero-Day-Schwachstelle in Instanzen ab Version 1.58.
Die mit dem maximalen CVSS-Schweregrad 10.0 bewertete Lücke ermöglicht unauthentifizierten Fernangreifern die Einspeisung von SQL-Befehlen (SQL Injection) in die Anwendungsdatenbank. Dadurch können sich Angreifer Administratorrechte verschaffen, Zugangsdaten für angebundene Unternehmensdatenbanken abgreifen und Inhalte auf eigene Befehlsserver (C2) ausleiten. Als typisches Erkennungsmuster für Angriffsversuche nannte der Hersteller die Protokollfolge eines POST /api/session/reset_password mit Statuscode 400, gefolgt von einem GET /api/user/current mit Statuscode 200.
ShinyHunters listet Metabase auf Darknet-Leaksite
Nur wenige Tage nach dem Bekanntwerden der Schwachstelle gelistete die bekannte Erpressergruppe ShinyHunters das Unternehmen am 11. August 2026 auf ihrer Leaksite im Darknet. Die Gruppe stellte dort einen Download-Link für die angeblich entwendeten Daten bereit, machte jedoch zunächst keine genauen Angaben zum Umfang oder zum exakten Zeitpunkt des Datendiebstahls.
ShinyHunters ist bekannt für großangelegte Angriffskampagnen gegen zentral genutzte B2B-Plattformen und Cloud-Dienstleister. In der Vergangenheit nutzte die Gruppe unter anderem Zugänge zu Salesforce-Umgebungen, Okta-Systemen sowie Zero-Day-Lücken in Oracle PeopleSoft und Cloud-Datenbanken von Snowflake, um Daten von Hunderten Großunternehmen abzuziehen.
Betroffene Systeme und dringende Schutzmaßnahmen
Da Metabase unter anderem von namhaften Finanz- und Technologieunternehmen wie Revolut, N26, Remote und Coupa genutzt wird, birgt ein erfolgreicher Kompromittierungsversuch erhebliche Folgerisiken für angebundene Datenbankinfrastrukturen.
Während Metabase die eigenen Cloud-Kunden automatisch auf eine abgesicherte Version aktualisiert hat, werden Betreiber von selbst gehosteten On-Premises-Instanzen dringend aufgefordert, umgehend auf die neuesten Softwarestände zu aktualisieren und Server-Logs auf das angegebene Angriffsmuster zu überprüfen.
(red)
