Metabase’de Kritik SQL Açığı: Tam Veritabanı Erişimi Riski

Metabase iş zekası platformu, kritik bir güvenlik açığı ile gündemde. Şirket, kullanıcıların hassas kimlik bilgileri, jetonlar ve API anahtarları gibi verilerinin ifşa edilmiş olabileceği bir sıfır gün SQL enjeksiyonu Metabase SQL açığı, 10.0 gibi en yüksek CVSS puanıyla değerlendirilen bu kritik açık, siber güvenlik dünyasında büyük endişe yaratıyor. Özellikle kendiliğinden barındırılan sistemler için acil önlemler alınması gerekiyor. Bu durum, veri güvenliği standartlarının sürekli sorgulanmasını bir kez daha gözler önüne seriyor.

İş Zekası Platformunda Derin Bir Yara: SQL Enjeksiyonunun Tehlikesi

Metabase, şirketlerin veri tabanlarını bağlayarak analizler yapmasına, verileri görselleştirmesine ve özel panolar oluşturmasına olanak tanıyan, açık kaynaklı bir iş zekası (BI) aracıdır. Databricks, MongoDB, Oracle, Snowflake, Amazon ve BigQuery gibi pek çok popüler veri tabanıyla entegre olabilen bu platform, işletmeler için kritik öneme sahip bilgiler sunar. Ancak, platformun bu yaygın kullanımı, keşfedilen güvenlik zafiyetini daha da riskli bir hale getiriyor.

SQL enjeksiyonu, veri tabanı destekli uygulamalara yönelik eski ancak hâlâ etkili bir saldırı yöntemidir. Bu tür bir saldırıda, kötü niyetli kişiler, uygulama tarafından işlenen verilere özel SQL komutları ekleyerek veri tabanının normal işleyişini manipüle ederler. Bu manipülasyon genellikle veri okuma, değiştirme, silme veya hatta tüm veri tabanı sistemini kontrol etme potansiyeli taşır. Uzmanlar, bu tür bir zafiyetin bu denli yüksek bir puan almasının nadir olduğunu ve ciddiyetinin göz ardı edilmemesi gerektiğini vurguluyor.

Kritik Derecede Ciddi: CVE-2026-72898’in Anatomisi

6 Ağustos’ta duyurulan ve CVE-2026-72898 olarak tanımlanan Metabase zafiyeti, mümkün olan en yüksek kritiklik derecesi olan 10.0 CVSS puanına sahip. Bu, açığın istismar edilmesinin potansiyel etkilerinin yıkıcı olabileceği anlamına geliyor. Zafiyet, Metabase’in 1.58 ve üzeri tüm sürümlerinde mevcut. Metabase’in kendi açıklamasına göre, bir tehdit aktörü sıfır gün SQL enjeksiyonu açığını kullanarak platforma erişim sağlamış.

Saldırganlar için giriş noktası, /api/session/reset_password URL’si olarak belirlendi. Bu nokta üzerinden veri tabanına “sınırsız, ham SQL erişimi” elde edebiliyorlar. Bu tür bir erişim, saldırganlara sadece veri çalma imkanı vermekle kalmıyor, aynı zamanda bağlı veri tabanları için hesap kimlik bilgilerini değiştirmelerine, yeni yönetici hesapları oluşturmalarına, uygulama yapılandırmalarını değiştirmelerine, ayrıcalıkları yükseltmelerine ve hatta bilgileri “bozma, değiştirme veya yok etme” yetkisi veriyor. Bu durum, bir iş zekası platformunun temelinde yatan verinin tamamen savunmasız kalmasına neden oluyor.

Saldırının Kapsamı ve Veri İfşa Riski

Bu kritik SQL açığı, Metabase Cloud müşterilerini doğrudan etkilemezken, kendiliğinden barındırılan (self-hosted) Metabase kurulumlarını kullanan kuruluşlar için büyük bir risk oluşturuyor. Güvenlik şirketi Wiz’in raporuna göre, bulut ortamlarının yaklaşık %13’ünde kendiliğinden barındırılan Metabase örnekleri kullanılıyor ve bunların yaklaşık %25’i internet üzerinden tamamen erişilebilir durumda. Shodan arama motoru da yaklaşık 2.500 Metabase örneğini izlemiş durumda, bu da potansiyel hedef kitlenin genişliğini gösteriyor.

Daha da önemlisi, bu güvenlik açığı, Metabase’in orijinal ekipman üreticisi (OEM) sürümlerini altyapılarının bir parçası olarak kullanan platformları da etkileyebilir. Bu durumda, etkilenen kullanıcılar, kullandıkları ürünün Metabase içerdiğini bilmedikleri için durumdan habersiz kalabilirler. Şu ana kadar etkilenen şirketler arasında Kilo Code, Y Combinator destekli Tally, kişisel bilgisayar üreticisi Framework, iş akışı otomasyon platformu n8n ve yapay zeka testi ve izleme platformu ChecklyHQ gibi daha küçük kuruluşlar ve yeni girişimler bulunuyor. Bu şirketler, kullanıcı adları, e-posta adresleri, bulut parolaları, OpenTelemetry (OTel) API anahtarlarının şifreleme karmaları ve Slack erişim belirteçleri gibi hassas verilerin erişildiğini bildiriyor.

Acil Eylem Çağrısı: Kendiliğinden Barındırılan Sistemler İçin Yama Süreci

Metabase, açığı keşfettikten sonra hemen harekete geçerek istismar edilen uç noktaları engelledi, zafiyeti yamadı, ilgili oturumları sonlandırdı ve olayda kullanılan kimlik bilgilerini iptal etti. Metabase Cloud müşterileri zaten güncellenerek yamalanmış olsa da, kendiliğinden barındırılan Metabase müşterileri, manuel olarak yama yapmadıkları sürece hâlâ savunmasız olabilirler. Bu durumdaki tüm kuruluşların, vakit kaybetmeden sistemlerini en son güvenli sürüme yükseltmeleri kritik önem taşıyor.

Etkilenen şirketler de proaktif adımlar attı. Potansiyel olarak etkilenen kimlik bilgilerini ve API anahtarlarını değiştirdiler, tüm kullanıcı parolalarını sıfırladılar, etkilenen kullanıcılar için tüm Slackbot kimlik doğrulama belirteçlerini geçersiz kıldılar, tehlikeye giren yönetici hesaplarını kaldırdılar ve iç denetim kayıtlarını incelediler. Checkly gibi bazı şirketler, bu olayın ardından analiz araçları etrafındaki iç süreçlerini yeniden düşündüklerini, kontrol yapılandırmalarını ve verilerini depolarken temizleme standartlarını geliştirdiklerini belirtti. Bu süreç, sadece bir güvenlik açığını kapatmaktan öte, genel bir güvenlik duruşunun gözden geçirilmesini gerektiriyor.

Sektör İçin Bir Uyarı: Tedarik Zinciri Güvenliği ve Eski Tehlikeler

Metabase’de yaşanan bu olay, modern teknoloji dünyasında tedarik zinciri güvenliğinin ne kadar hayati olduğunu bir kez daha gösteriyor. Bir platformun veya hizmetin, üçüncü taraf bir bileşendeki bir zafiyet nedeniyle tehlikeye girmesi, geniş çaplı sonuçlar doğurabilir. Özellikle Metabase gibi iş zekası araçları, hassas kurumsal verilere doğrudan erişim sağladığı için, bu tür bir zafiyetin etkisi katlanarak artıyor. Siber güvenlik uzmanları, “eski usul ve acı verici” olarak nitelendirilen SQL enjeksiyonu gibi saldırı türlerinin, karmaşık ve yeni saldırı vektörlerine rağmen hâlâ ne kadar etkili olabildiğine dikkat çekiyor.

Bu durum, kuruluşların sadece kendi sistemlerini değil, kullandıkları tüm üçüncü taraf araçları ve bileşenleri de sürekli olarak denetlemesi gerektiğini ortaya koyuyor. Bir ürünün parçası olarak kullanılan OEM versiyonların bile potansiyel bir risk taşıması, görünürlüğün ve şeffaflığın önemini artırıyor. Nihayetinde, bu olay, siber güvenlikte uyanıklığın hiçbir zaman gevşetilmemesi gerektiğini ve en temel zafiyetlerin bile en yıkıcı sonuçları doğurabileceğini hatırlatan güçlü bir uyarı niteliği taşıyor.