เจาะช่องโหว่ Metabase SQL Injection: ขโมยสิทธิ์แอดมินสู่ฐานข้อมูล
Metabase เผยกำลังถูกโจมตีช่องโหว่ Unauthenticated SQL Injection โดยแฮกเกอร์ใช้เจาะระบบผ่าน API รีเซ็ตรหัสผ่านเพื่อยึดสิทธิ์ผู้ดูแลระบบ
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
- Metabase ยืนยันพบการโจมตีจริงโดยแฮกเกอร์ช่องโหว่ SQL Injection
- ระบบ Metabase Cloud ได้รับการแพทช์แล้ว แต่เซิร์ฟเวอร์โฮสต์เองต้องอัปเดตมือ
- คนร้ายโจมตีผ่าน public password reset API เพื่อขโมยสิทธิ์แอดมิน
ระบบวิเคราะห์ข้อมูลยอดนิยม Metabase ออกมายืนยันว่ากำลังเผชิญกับการโจมตีในโลกความเป็นจริง โดยมีรายงานจาก Framework และ Tally ระบุถึงการเข้าถึงระบบโดยไม่ได้รับอนุญาตและการรั่วไหลของข้อมูลตั้งแต่วันที่ 3 สิงหาคมเป็นต้นมา แม้ว่าผู้ใช้งานบนระบบ Metabase Cloud จะได้รับการแก้ไขช่องโหว่เรียบร้อยแล้ว แต่สำหรับองค์กรที่ติดตั้งใช้งานบนเซิร์ฟเวอร์ของตนเอง (Self-hosted) จำเป็นต้องเร่งดำเนินการอัปเดตด้วยตนเองทันที
รูปแบบการโจมตีนี้อาศัยช่องโหว่ที่แฮกเกอร์สามารถฉีดคำสั่ง SQL เข้ามาได้โดยไม่ต้องยืนยันตัวตน ผ่านทาง API สำหรับรีเซ็ตรหัสผ่านที่เป็นสาธารณะ เพื่อไต่ระดับสิทธิ์จนกลายเป็นผู้ดูแลระบบสูงสุดของ Metabase จากนั้นจึงทำการดึงข้อมูลและส่งออกข้อมูลรับรอง (Credentials) ของฐานข้อมูลที่เชื่อมต่ออยู่ รวมถึงข้อมูลภายในที่สามารถมองเห็นได้ทั้งหมด
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
ในมุมมองของผู้ใช้งานทั่วไป หน้าจอการทำงานจะยังคงแสดงผลเป็นหน้าจอวิเคราะห์ข้อมูลตามปกติและไม่ต้องดำเนินการใดๆ ในช่วงเวลาที่ถูกเจาะระบบ ส่วนในมุมมองของผู้ดูแลระบบ การโจมตีจะปรากฏในรูปแบบคำขอ HTTP 400 POST ไปยัง API รีเซ็ตรหัสผ่านซึ่งดูเหมือนจะล้มเหลว ตามมาด้วยคำขอ HTTP 200 ที่สำเร็จไปยังเส้นทาง /api/user/current ทันที นอกจากนี้ยังมีสัญญาณเตือนอื่นๆ เช่น การปรากฏตัวของแอดมินแปลกปลอมหรือคีย์ API ใหม่ การสืบค้นข้อมูลหรือการส่งออกที่ผิดปกติ รวมถึงการใช้งานฐานข้อมูลที่เชื่อมต่อในลักษณะผิดวิสัย
ช่องโหว่นี้มีความรุนแรงสูงมากเนื่องจากช่วยให้ผู้ไม่หวังดีสามารถข้ามผ่านด่านการพิสูจน์ตัวตนเข้ามาควบคุมระบบได้เบ็ดเสร็จ การที่แฮกเกอร์สามารถเข้าถึงฐานข้อมูลที่เชื่อมต่ออยู่ได้ไม่ได้หมายถึงแค่ข้อมูลใน Metabase เท่านั้น แต่ยังรวมถึงความเสี่ยงที่ฐานข้อมูลหลังบ้านจะถูกเจาะตรงหากข้อมูลรับรองรั่วไหล องค์กรจึงควรตรวจสอบการตั้งค่าเครือข่ายและการเข้าถึงอย่างเข้มงวด
ผลกระทบที่เกิดขึ้นทำให้สิทธิ์การเป็นแอดมิน การตั้งค่า คีย์ API และข้อมูลรับรองฐานข้อมูลของ Metabase ถูกบุกรุกทั้งหมด ผู้โจมตีสามารถรันคำสั่งค้นหาและส่งออกข้อมูลลูกค้าหรือข้อมูลธุรกิจที่เข้าถึงได้ผ่าน Metabase นอกจากนี้ หากพวกเขานำข้อมูลรับรองการเชื่อมต่อเหล่านั้นไปใช้ประโยชน์โดยตรง ก็สามารถเข้าถึงฐานข้อมูลจากภายนอกระบบ Metabase ได้อีกด้วย
ทาง Metabase ระบุชัดเจนว่าหากไฟล์บันทึกระบบ (Logs) มีรูปแบบการเรียกใช้งาน POST 400 ควบคู่กับ GET 200 ตามที่กล่าวมาข้างต้น มีความเป็นไปได้สูงมากที่ระบบจะถูกเจาะเรียบร้อยแล้ว
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
เนื่องจาก Metabase มักถูกติดตั้งใช้งานโดยแผนกต่างๆ หรือรันอยู่ในสภาพแวดล้อม Docker ขนาดเล็ก ทำให้เซิร์ฟเวอร์เหล่านี้มักรอดพ้นจากการตรวจสอบของทีมไอทีส่วนกลาง ทีมปฏิบัติการด้านความปลอดภัยจึงควรยกระดับการทำงานให้ก้าวมากกว่าการจัดการช่องโหวบทั่วไป โดยใช้เครื่องมือค้นหาทรัพย์สิน (Asset Discovery) เพื่อตรวจสอบว่ามีเซิร์ฟเวอร์ Metabase หรือจุดเชื่อมต่อใดที่เปิดexposed สู่สาธารณะหรือไม่ และหากพบร่องรอยการถูกเจาะ ขอบเขตการสืบสวนจะต้องขยายลึกไปถึงฐานข้อมูลที่เชื่อมต่ออยู่ พร้อมทั้งเตรียมรับมือกับกระบวนการจัดการการรั่วไหลของข้อมูลส่วนบุคคลหากมีข้อมูลของลูกค้าและพนักงานรวมอยู่ด้วย
ที่มา: Dev.to
พบข้อมูลผิดพลาดในบทความนี้? แจ้งปัญหาบทความนี้
ความคิดเห็น
แสดงความคิดเห็น