// HEISE ONLINE — CYBERSECURITY
Durch Metabase-0day: Datenleck bei Laptophersteller Framework
Nur wenige Stunden nach Bekanntwerden einer Sicherheitslücke informiert der Framework seine Kunden. Metabase veröffentlichte eigene Sicherheitshinweise.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Der Laptophersteller Framework hat ein Datenleck erlitten und warnt seine Kunden vor abgeflossenen Informationen. Kontakt- und Lieferdaten privater und gewerblicher Kunden kamen abhanden – Zahlungs- und Bestellinformationen nach Frameworks Angaben jedoch nicht. Offenbar nutzten Angreifer eine Zero-Day-Lücke in Metabase aus; der Datenbankhersteller hat Updates veröffentlicht und seine Cloud-Instanzen abgedichtet.
In einer Mail an seine Kunden, die heise online vorliegt, schreibt der Hersteller, dass durch den Angriff auf Metabase die folgenden Kundendaten abgezogen worden seien:
Man prüfe zur Vermeidung künftiger Vorkommnisse auch, wie viele Informationen man mit Plattformen zur „Business Intelligence“ teile, heißt es in der E-Mail weiter. Außerdem habe man die jeweiligen Aufsichtsbehörden informiert und ein Unternehmen zur IT-Forensik mit der Spurensuche beauftragt. Framework habe die Zugangsdaten zu seiner Metabase-Clouddatenbank geändert.
Framework hat sich mit seinen reparierbaren und aufrüstbaren Notebooks wie dem Laptop 13 einen Namen gemacht. Keine Komponente ist verklebt; Akku, Display, Touchpad und mehr lassen sich simpel austauschen. Zuletzt stellte die Firma den Laptop 13 Pro vor und beginnt damit einen Vorstoß auch zu Linux. Im Forum des Laptopherstellers diskutieren Kunden über das Ausmaß des Lecks, eine öffentliche Stellungnahme im Firmenblog oder dessen Social-Media-Konten steht zur Stunde noch aus.
Der betroffene Datenbankanbieter veröffentlichte derweil einen eigenen Sicherheitshinweis. Man habe am 3. August einen Angriff auf Cloud-Instanzen der Firmendatenbank identifiziert, der mithilfe einer zuvor unbekannten Sicherheitslücke ausgeführt worden sei – also einem „Zero-Day“. Die Lücke in Metabase (CVSS 10.0/10, Schweregrad kritisch, noch keine CVE-ID) betrifft alle Versionen von 58 bis 63 und zwar sowohl die von Metabase betriebene Cloudlösung als auch deren selbst gehostete Version in Kundennetzen.
Offenbar verbirgt sich der Fehler im API-Endpunkt zum Zurücksetzen von Nutzerpassworten – wer in seinen Zugriffsprotokollen eine POST-Anfrage auf /api/session/reset_password gefolgt von einem Aufruf des Endpunkts /api/user/current finde, solle sein Datenbanksystem als kompromittiert betrachten. Aktualisierte Versionen stehen zur Verfügung:
Wer nicht unmittelbar eine Aktualisierung seiner Metabase-Instanz vornehmen kann, soll als vorübergehende Schutzmaßnahme jeglichen Zugriff auf /api/session/reset_password blockieren. Bei Verdacht einer feindlichen Übernahme der Datenbank enthält der Sicherheitshinweis auf Github weitere Informationen. Cloud-Kunden, so Metabase, seien bereits sicher – bei wie vielen bereits Daten abgeflossen sind, erwähnt das Unternehmen jedoch nicht.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security