Trusted Design

CVE-2026-72898 の詳細

CVEの情報

説明:
Metabase allows a remote, unauthenticated attacker to inject arbitrary SQL via the '/reset_password' database endpoint and gain administrator access to the connected Metabase instance.

CVE更新日: 2026-08-10 18:18:53.300000

CVSSバージョン: 4.0

CVSSスコア: 10.0

KEVの情報

KEV更新日: 2026-08-11

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.973350000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: low

Automatable: True

AIを使った解説

解説:

CVE-2026-72898について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2026-72898は、オープンソースのビジネスインテリジェンスおよび分析プラットフォームであるMetabaseにおける、深刻なSQLインジェクションの脆弱性です。この脆弱性は、Metabaseの/reset_passwordデータベースエンドポイントを介して、リモートの認証されていない攻撃者が任意のSQLを注入できることに起因します。

1.1 影響

本脆弱性が悪用されると、攻撃者はMetabaseインスタンスおよびそれに接続されているデータベースに対する管理者権限を奪取できます。これにより、以下の影響が発生する可能性があります。

  • アプリケーション構成の変更
  • 接続されたデータベースに保存されている認証情報の窃盗
  • それらの接続を介してアクセス可能なデータの読み取りおよびエクスポート
  • 機密性、完全性、可用性の完全な侵害
  • データ漏洩や不正なデータベースアクセス

1.2 深刻度

CVE-2026-72898は、CVSSスコア10.0（Critical）と評価されており、最高レベルのリスクを示します。 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の既知の悪用された脆弱性（KEV）カタログにも追加されており、実環境での積極的な悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はMetabaseアプリケーションの脆弱性であり、特定のOSバージョンに依存するものではありません。自己ホスト型のMetabaseインスタンスが影響を受けます。Metabase Cloudユーザーは既に保護されています。

2.2 影響を受ける設定

以下のMetabaseのバージョンが影響を受けます。 * バージョン 0.58.0 から 0.58.23 * バージョン 0.59.0 から 0.59.20 * バージョン 0.60.0 から 0.60.16 * バージョン 0.61.0 から 0.61.10 * バージョン 0.62.0 から 0.62.8 * バージョン 0.63.0 から 0.63.4

Metabaseのオープンソース版とEnterprise版の両方が影響を受けます。

3. 影響を受けた時の兆候

影響を受けた際の兆候としては、以下が挙げられます。

  • WebサーバーおよびWAFログの監視: /api/session/reset_password または /api/user/reset_password エンドポイントへのHTTP POSTリクエストで、SQLインジェクションの署名（例: --、UNION SELECT、予期しないセミコロンなど）を含むものがないか監視します。
  • Metabase監査ログの確認: 新規の不正な管理者アカウントの作成がないか確認します。
  • データベースエンジンログの検査: Metabaseサービスアカウントによって実行された異常なクエリがないか確認します。

4. 推奨対策

4.1 本対策

直ちにMetabaseのインストールを最新のセキュリティリリースにアップデートしてください。ベンダーのパッチは、0.58を含むすべての主要なリリースブランチで発行されています。

4.2 暫定回避策（緩和策）

  • アクセス制限: MetabaseインスタンスをVPNまたはファイアウォールの背後に配置し、Webインターフェースへのアクセスを既知の信頼できるIPアドレスに制限します。
  • 悪用の監視: パスワードリセットエンドポイントへの異常なPOSTリクエストや、データベースログにおける不正なクエリをアプリケーションログで確認します。

他に解説すべき観点

  • 根本原因: 脆弱性は、SQLコマンドで使用される特殊要素の不適切な無効化（CWE-89）にあります。パスワードリセットフローへの入力処理において、Metabaseが攻撃者から提供された入力を適切にサニタイズせずに、内部アプリケーションデータベースに対して実行されるSQLステートメントに組み込んでしまうためです。
  • 攻撃ベクトル: この脆弱性はネットワークベースで、認証やユーザーの操作を必要としません。攻撃の複雑性は低いとされています。
  • ゼロデイ悪用: この脆弱性は、ゼロデイ脆弱性として実際に悪用されました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る