Alertes de sécurité : multiples vulnérabilités critiques dans Metabase

Le Centre d'expertise gouvernemental de réponse et de traitement des attaques informatiques (CERT-FR) a publié un avis d'alerte concernant plusieurs vulnérabilités critiques affectant la solution Metabase, un outil d'analyse de données open source largement déployé dans les environnements professionnels.

Nature des vulnérabilités et risques associés

Les failles identifiées permettent à un attaquant de compromettre la confidentialité des données stockées dans les instances Metabase. Parmi ces vulnérabilités, certaines autorisent également des injections SQL (SQLi), offrant la possibilité d'exécuter des requêtes malveillantes sur les bases de données sous-jacentes. Une troisième catégorie de vulnérabilités, non détaillée par l'éditeur, complète ce tableau de menaces.

Versions impactées et périmètre d'exposition

Les systèmes vulnérables concernent les versions de Metabase antérieures aux suivantes :

• x.58.28
• x.63.10
• x.59.x antérieures à x.59.25
• x.60.x antérieures à x.60.21
• x.61.x antérieures à x.61.15
• x.62.x antérieures à x.62.13

Recommandations et actions prioritaires

Le CERT-FR recommande aux administrateurs et responsables sécurité d'appliquer sans délai les correctifs publiés par l'éditeur. Ces correctifs sont disponibles via les bulletins de sécurité référencés par le CERT-FR, accessibles directement auprès de Metabase. Une revue des instances exposées et une mise à jour prioritaire des environnements critiques sont fortement conseillées pour limiter les risques d'exploitation malveillante.

Source : ANSSI / CERT-FR — Alertes & avis