Faille critique Metabase : Comment protéger vos données contre l'exécution de code à distance (RCE)

Le contexte de la faille de sécurité Metabase (CVE-2023-38646)

Metabase est une solution d'informatique décisionnelle (Business Intelligence) open-source très populaire. Elle permet de connecter diverses bases de données pour générer des rapports visuels. Cependant, sa large adoption en fait une cible privilégiée pour les cyberattaquants.

Une vulnérabilité critique, référencée sous le code CVE-2023-38646, a mis en lumière les risques liés à l'exposition de ces outils sur Internet. Contrairement aux premières hypothèses évoquant une simple injection SQL, cette faille est une exécution de code à distance (RCE) pré-authentification.

Cette distinction technique est cruciale pour les administrateurs système. Une faille RCE permet à un attaquant de prendre le contrôle total du serveur hébergeant l'application, sans avoir besoin d'identifiants valides.

Comment fonctionne techniquement cette exécution de code à distance ?

La vulnérabilité réside dans la manière dont Metabase gère son processus d'installation initiale. Lors de la première configuration, l'application génère un jeton temporaire appelé setup-token. Ce jeton est censé être accessible uniquement durant la phase de configuration.

Cependant, les chercheurs en sécurité ont découvert que ce jeton restait disponible en mémoire même après la finalisation de l'installation. Un attaquant externe pouvait interroger l'API publique de Metabase pour récupérer ce jeton sans aucune authentification préalable.

Une fois le jeton en sa possession, l'attaquant exploitait le point de terminaison /api/setup/validate. En envoyant une requête spécialement formulée contenant un pilote de base de données spécifique (comme H2), il parvenait à exécuter des commandes système arbitraires sur le serveur hôte.

Voici un exemple conceptuel de la requête JSON malveillante envoyée à l'API vulnérable :

POST /api/setup/validate HTTP/1.1
Host: metabase.exemple.com
Content-Type: application/json

{
  'token': 'setup-token-recupere',
  'details': {
    'db': 'zip:/app/metabase.jar!/sample-database.db;MODE=MSSQLServer;INIT=CREATE TRIGGER...',
    'engine': 'h2'
  }
}

Cette commande utilise les fonctionnalités du moteur de base de données H2 pour exécuter du code Java directement sur le système d'exploitation sous-jacent.

Pourquoi cette faille a-t-elle permis des vols de données massifs ?

L'exploitation de la faille CVE-2023-38646 permet aux attaquants d'obtenir un accès immédiat aux jetons de configuration et aux clés de chiffrement de l'application Metabase. Avec ces éléments, les pirates peuvent déchiffrer les identifiants de connexion des bases de données de production reliées à l'outil de Business Intelligence.

Une fois ces identifiants de connexion en leur possession, les attaquants n'ont plus besoin d'exploiter l'application Metabase elle-même. Ils se connectent directement aux bases de données de l'entreprise pour exfiltrer l'intégralité des informations stockées.

C'est par ce mécanisme que des entreprises comme le fabricant de matériel informatique Framework et l'outil de formulaires Tally ont subi des vols de données majeurs. Les attaquants ont pu exfiltrer des listes de clients, des adresses électroniques et des métadonnées de configuration.

Les conséquences pour les organisations touchées sont multiples :

• Perte de confiance immédiate de la part des utilisateurs et des partenaires commerciaux.
• Risque accru de campagnes de phishing ciblé utilisant les données exfiltrées.
• Obligation légale de notifier la violation de données aux autorités de contrôle compétentes.
• Coûts financiers importants liés à l'investigation numérique et à la remédiation.

Quelles sont les différences entre une RCE et une injection SQL classique ?

Il est fréquent de confondre ces deux types de vulnérabilités car toutes deux peuvent mener à un vol de données. Cependant, leurs mécanismes d'action et leurs périmètres d'impact diffèrent profondément.

Une injection SQL (SQLi) cible directement l'interpréteur de requêtes de la base de données. L'attaquant injecte du code SQL pour contourner l'authentification applicative ou lire des données non autorisées, mais il reste généralement confiné au contexte de la base de données.

À l'inverse, l'exécution de code à distance (RCE) permet d'exécuter des commandes directement sur le système d'exploitation du serveur (Linux ou Windows). L'attaquant peut alors installer des logiciels malveillants, se déplacer latéralement sur le réseau ou chiffrer les fichiers.

Le tableau suivant résume les différences fondamentales entre ces deux menaces :

Les étapes indispensables pour sécuriser votre instance Metabase

La sécurisation d'un outil d'analyse décisionnelle comme Metabase repose sur une approche de défense en profondeur. Vous ne devez jamais vous fier uniquement à la sécurité par l'obscurité ou à l'absence de détection de votre serveur par les moteurs de recherche spécialisés.

Pour protéger efficacement vos installations, appliquez méthodiquement les mesures suivantes :

• Mettre à jour immédiatement : Installez les versions correctives publiées par l'éditeur officiel de Metabase pour neutraliser la faille CVE-2023-38646.
• Isoler l'application du réseau public : Ne laissez jamais l'interface d'administration accessible directement sur Internet sans protection.
• Restreindre les privilèges de connexion : Configurez des accès limités pour le compte de base de données utilisé par l'outil de Business Intelligence.
• Activer la journalisation centralisée : Surveillez les fichiers de logs pour détecter rapidement toute tentative d'accès non autorisée ou comportement anormal.

Ces actions simples mais rigoureuses réduisent drastiquement la surface d'attaque de votre système d'information.

Comment configurer les privilèges de base de données pour limiter les risques ?

Le principe du moindre privilège est une règle d'or en sécurité informatique. Si votre outil de Business Intelligence n'a besoin que de générer des rapports et des graphiques, il ne doit en aucun cas disposer de droits d'écriture ou de modification sur vos bases de données de production.

En limitant les droits de l'utilisateur de base de données dédié à Metabase, vous minimisez l'impact d'une éventuelle compromission. Même si un attaquant parvient à exécuter des requêtes via l'application, il lui sera impossible de supprimer des tables ou de modifier des enregistrements stratégiques.

Voici les commandes SQL recommandées pour créer un utilisateur aux droits strictement limités à la lecture seule :

CREATE USER 'metabase_lecture'@'%' IDENTIFIED BY 'MotDePasseTrEsSeCuRiSe123!';
GRANT SELECT ON nom_de_votre_base.* TO 'metabase_lecture'@'%';
FLUSH PRIVILEGES;

Cette configuration garantit que le compte utilisé par l'application décisionnelle ne peut effectuer que des requêtes de type SELECT. Les commandes destructrices telles que DROP, DELETE ou ALTER lui seront systématiquement refusées par le serveur de base de données.

Quelles mesures de sécurité réseau appliquer pour isoler vos outils de BI ?

L'exposition directe d'outils d'administration ou d'analyse sur Internet est l'une des causes principales des cyberattaques réussies. Pour contrer ce risque, il convient de mettre en place des barrières réseau étanches autour de vos applications sensibles.

La solution la plus robuste consiste à déployer un réseau privé virtuel (VPN). Ainsi, l'accès à l'interface de Metabase requiert une authentification préalable sur le VPN de l'entreprise. Seuls les terminaux autorisés et authentifiés peuvent alors communiquer avec le serveur applicatif.

Si la mise en place d'un VPN s'avère trop complexe pour votre organisation, vous pouvez configurer des restrictions d'accès basées sur l'adresse IP. Cette méthode consiste à configurer votre pare-feu ou votre serveur proxy pour n'autoriser les connexions entrantes que depuis les adresses IP publiques fixes de vos bureaux ou des domiciles de vos collaborateurs en télétravail.

Enfin, l'utilisation d'un pare-feu applicatif web (WAF) permet d'analyser en temps réel les requêtes HTTP entrantes. Le WAF est capable de détecter et de bloquer les charges utiles malveillantes associées aux tentatives d'exploitation de failles connues avant qu'elles n'atteignent l'application.

L'importance d'une surveillance et de sauvegardes régulières

La sécurité absolue n'existe pas, et l'apparition de failles zero-day le démontre régulièrement. C'est pourquoi la résilience de votre entreprise repose également sur votre capacité à détecter les intrusions et à restaurer rapidement vos systèmes en cas de sinistre.

La surveillance active des journaux d'accès (logs) est indispensable pour repérer les signaux faibles d'une attaque en cours. Des requêtes répétées vers des points de terminaison sensibles comme /api/setup/ doivent immédiatement alerter vos équipes techniques ou votre prestataire informatique.

Par ailleurs, la mise en œuvre d'une politique de sauvegarde rigoureuse reste votre ultime rempart. Nous vous conseillons d'appliquer la règle de sauvegarde 3-2-1, largement reconnue par les professionnels de la sécurité :

1. Conservez au moins trois copies distinctes de vos données stratégiques.
2. Utilisez deux supports de stockage différents (par exemple, un serveur local et un disque externe).
3. Stockez au moins une copie hors site, dans un emplacement physiquement séparé ou sur un espace cloud sécurisé et immuable.

Cette stratégie vous assure de pouvoir reconstruire vos environnements de travail même en cas de compromission majeure ou d'attaque par rançongiciel.

Quand faire appel à un prestataire informatique de proximité ?

La gestion de la sécurité des serveurs et l'application de correctifs sur des environnements de production complexes exigent des compétences techniques pointues. Pour les dirigeants de TPE et PME, ces tâches peuvent s'avérer chronophages et sources d'erreurs si elles sont réalisées sans accompagnement.

Faire appel à un prestataire informatique local permet de déléguer cette gestion technique en toute sérénité. Un professionnel de proximité peut réaliser un diagnostic précis de votre infrastructure, identifier les vulnérabilités potentielles et mettre en œuvre les correctifs adaptés à votre contexte opérationnel.

Si vous souhaitez évaluer le niveau de sécurité de vos installations ou optimiser vos configurations réseau, vous pouvez consulter notre page dédiée à l'expertise informatique. Un accompagnement sur mesure vous permettra de protéger durablement vos actifs numériques.

Pour toute question relative à la maintenance de vos équipements ou pour résoudre un incident technique, n'hésitez pas à solliciter notre service de dépannage informatique à Agen. Nos équipes vous guideront vers les meilleures pratiques pour sécuriser vos outils de travail au quotidien.

La veille technologique reste un élément clé pour anticiper les menaces de cybersécurité. Pour découvrir d'autres analyses détaillées et des conseils pratiques pour votre entreprise, nous vous invitons à parcourir régulièrement notre blog informatique.

Questions fréquentes

Sources

• BleepingComputer - Metabase RCE Exploitation