🔴 CVE-2026-72898 - 認証不要のSQLインジェクション

Metabase — 認証不要のSQLインジェクション → 完全な管理者権限奪取

📌 概要

CVE-2026-72898 は、Metabase における**最大深刻度（CVSS 10.0）**の認証不要 SQL インジェクション脆弱性であり、リモートの攻撃者がパスワードリセットエンドポイントを介してアプリケーションデータベースに任意の SQL を注入できるものです。

悪用に成功すると、Metabase インスタンスへの完全な管理者アクセスが付与されます。そこから攻撃者は以下を実行できます：

• アプリケーション設定の変更
• 接続されたデータベースの保存済み認証情報の窃取
• それらの接続を通じてアクセス可能なあらゆるデータの読み取り
• 機密データの自由な持ち出し

この脆弱性はゼロデイとして実際の攻撃で悪用されました。標的は Metabase Cloud および複数のセルフホスト顧客です。

⚡ 主な詳細

🎯 影響を受けるエンドポイント

POST /api/session/reset_password

認証されていない攻撃者がこのエンドポイントに細工されたリクエストを送信すると、Metabase アプリケーションデータベースに対して任意の SQL が実行されます。

📦 影響を受けるバージョン

58 未満のバージョンは影響を受けません。

🛠️ 修復

1. 直ちにアップグレード（推奨）

お使いのメジャーリリースに対応する修正バージョンにアップグレードしてください：

2. 一時的な回避策

直ちにアップグレードできない場合は、脆弱なエンドポイントへのアクセスをブロックしてください：

/api/session/reset_password

🔍 検出と侵害指標

アプリケーションログまたはイングレスログで、この特徴的な攻撃パターンを探してください：

POST /api/session/reset_password   →  400
GET  /api/user/current             →  200

このシーケンスが現れた場合、あなたのインスタンスは侵害された可能性が高いです。

アップグレード後の対応（強く推奨）

アップグレード後は、以下を実行してください：

1. すべてのセッションを無効化

   root@kitploit:~

   TRUNCATE TABLE core_session;
   

2. 認識できないAPI キーを確認し削除する

3. 管理者アカウントに予期しない変更がないか監査する

4. 接続されているすべてのデータベースの認証情報をローテーションする

5. データウェアハウスのログで不正アクセスがないか確認する

6. Metabase のアクティビティとクエリ履歴に異常がないか調査する

📚 公式リファレンス

• Metabase セキュリティアドバイザリ (GHSA-vwf4-m7j8-wcjf)
• Metabase 公式ブログ記事
• CVE レコード
• CISA 既知の悪用された脆弱性カタログ

⚠️ 免責事項

このドキュメントは防御および情報提供のみを目的として提供されています。
常に公式ベンダーのアドバイザリに対して情報を検証してください。

今すぐアップグレードしてください。未パッチのインスタンスはすべて、価値の高い標的であり続けます。