Betroffene Einrichtungen
Bereich
In Metabase besteht eine kritische SQL-Injection-Schwachstelle, die es einem nicht authentifizierten, entfernten Angreifer ermöglicht, beliebigen SQL-Code in die Metabase-Anwendungsdatenbank einzuschleusen und dadurch Administratorzugriff auf die gesamte Instanz zu erlangen. Mit diesem Zugriff kann ein Angreifer die Anwendungskonfiguration verändern, gespeicherte Zugangsdaten für angebundene Datenbanken stehlen sowie sämtliche über diese Verbindungen erreichbaren Daten lesen und exportieren. Metabase wird in Gesundheitseinrichtungen häufig als Business-Intelligence- und Datenanalyse-Plattform eingesetzt, die an klinische Datenbanken (z. B. KIS, LIS oder Data Warehouses) angebunden ist; sofern dies der Fall ist, besteht ein erhebliches Risiko für den Verlust sensibler Patientendaten und die Integrität klinischer Systeme. Angesichts der aktiven Ausnutzung dieser Schwachstelle (CISA KEV) ist sofortiges Handeln – Isolation der Instanz, Patch-Einspielen und Rotation aller Datenbankzugangsdaten – zwingend erforderlich.
1 Metabase sofort auf die vom Hersteller bereitgestellte gepatchte Version aktualisieren (Metabase-Sicherheitsadvisory prüfen und verfügbares Sicherheitsupdate einspielen); bis zum Patch den Internetzugang zur Metabase-Instanz über Firewall-Regeln auf vertrauenswürdige interne Netzsegmente beschränken.
2. Alle in Metabase gespeicherten Datenbankzugangsdaten (Credentials für angebundene Datenbanken wie KIS, LIS, DWH) als kompromittiert betrachten und unverzüglich rotieren, da ein Angreifer Administratorzugriff und damit Zugriff auf gespeicherte Verbindungsdaten erlangen kann.
3. Protokolldateien der Metabase-Instanz sowie der angebundenen Datenbanken auf ungewöhnliche Abfragen, Konfigurationsänderungen oder unauthentifizierte Zugriffe der vergangenen Wochen forensisch auswerten.
4. Netzwerksegmentierung überprüfen: Metabase-Server darf ausschließlich aus definierten internen Netzbereichen (BI-/Analysten-Segment) erreichbar sein – kein direkter Zugriff aus dem Internet oder nicht vertrauenswürdigen VLANs.
5. Vorfall dem Datenschutzbeauftragten und ggf. der zuständigen Aufsichtsbehörde melden, sofern ein tatsächlicher Angriff festgestellt wurde, da Patientendaten in angebundenen Datenbanken betroffen sein könnten.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja