Eine Metabase-Lücke traf drei Firmen auf einmal

Framework-Kunden erhielten die E-Mail zuerst

Am 7. August schrieb Framework, der Hersteller reparierbarer, modularer Laptops, seine gesamte Kundschaft an, um mitzuteilen, dass ihre Daten offengelegt worden waren. Das Unternehmen hatte einen Tag zuvor, am 6. August, erfahren, dass ein Angreifer am 3. August in die eigene Metabase-Instanz eingedrungen war und Kundendatensätze abgezogen hatte. Framework bestätigte, dass Namen, E-Mail-Adressen, Telefonnummern sowie Rechnungs- und Lieferadressen entwendet wurden. Zahlungsinformationen waren ausdrücklich nicht betroffen, eine Unterscheidung, die Framework in seiner Mitteilung klar traf.

Framework selbst wurde in keinem direkten Sinne gehackt. Keine fehlerhafte Codezeile im eigenen System war die Ursache. Das Unternehmen war Kunde von Metabase, der Business-Intelligence-Plattform, die viele Firmen zur Auswertung ihrer eigenen Betriebs- und Verkaufsdaten nutzen, und der Angreifer gelangte über Metabase hinein, nicht über Framework.

Die Lücke lag bei Metabase, nicht bei den Kunden

Metabase legte eine kritische, nicht authentifizierte SQL-Injection-Zero-Day-Lücke im Passwort-Reset-Endpunkt seiner API offen. Ein Angreifer ohne jegliche Zugangsdaten konnte beliebigen SQL-Code gegen die zugrunde liegende Anwendungsdatenbank einschleusen, was ausreichte, um sich direkt Administratorrechte auf einer Metabase-Instanz zu verschaffen. Metabase erklärte, die Lücke betreffe auch das eigene Cloud-SaaS-Produkt, und bestätigte aktive Ausnutzung, bevor ein Patch veröffentlicht wurde. Die reparierten Versionen beginnen bei 0.58.24 und reichen bis 0.63.5 und darüber hinaus, über alle unterstützten Versionslinien hinweg.

Das ist der Punkt, den Unternehmer gern übersehen: Die Schwachstelle lag im eigenen Code von Metabase, nicht in der Konfiguration, die Framework, Tally oder LexisNexis vorgenommen hatten. Jeder Kunde mit einer betroffenen, ungepatchten Instanz war auf dieselbe Weise exponiert, ohne eigenes Verschulden.

Drei Firmen, ein Anbieter, ein Nachmittag

Framework stand nicht allein da. Auch Tally, ein Formular-Produkt, und LexisNexis, das Daten- und Rechercheunternehmen, waren über dieselbe Metabase-Lücke betroffen. Drei Firmen ohne betriebliche Gemeinsamkeiten, die unterschiedliche Märkte mit unterschiedlichen Produkten bedienen, mussten ihre Kundschaft innerhalb weniger Tage über dieselbe Grundursache informieren. Keine teilte mit den anderen eine Codebasis, ein Sicherheitsteam oder eine Anbieterbeziehung. Sie teilten sich ein BI-Werkzeug.

Genau dieses Muster verdient Aufmerksamkeit. Eine einzelne Schwachstelle in einer weitverbreiteten SaaS-Plattform erzeugt keinen einzigen Vorfall. Sie erzeugt so viele Vorfälle, wie diese Plattform Kunden mit ausnutzbaren Daten darin hat, alle gleichzeitig, alle rückführbar auf einen Anbieter, von dem die eigenen Kundinnen und Kunden der betroffenen Firmen nie gehört hatten.

Was entwendet wurde und was die Mitteilung ausdrücklich ausschließt

Frameworks Mitteilung ist eine nützliche Vorlage für das Lesen jeder Vorfallsmeldung. Sie nennt vier entwendete Kategorien: Namen, E-Mail-Adressen, Telefonnummern sowie Rechnungs- und Lieferadressen. Sie nennt eine ausdrücklich ausgeschlossene Kategorie: Zahlungsdaten. Dieser Ausschluss ist wichtig, ergibt aber nicht das vollständige Bild. Namen, E-Mails, Telefonnummern und physische Adressen sind genau das Rohmaterial für gezieltes Phishing, SIM-Swap-Versuche und Kontoübernahmen anderswo, selbst ganz ohne eine einzige Kartennummer im Spiel.

Lies jede Vorfallsmeldung auf beide Listen hin, was bestätigt entwendet wurde und was bestätigt nicht entwendet wurde, und behandle alles Unerwähnte als unbekannt statt als sicher. Eine Mitteilung, die dich bei Zahlungsdaten beruhigt, sagt nichts über deine Telefonnummer aus.

Die Frage, die sich jeder Unternehmer diese Woche stellen sollte

Die meisten Betriebe können ihre Bank und ihren Versicherer ohne Zögern benennen. Deutlich weniger können jedes SaaS- und BI-Werkzeug benennen, das eine lebende Kopie ihrer Kundendaten hält, oder mit Zuversicht sagen, wie die Sicherheitslage dieses Anbieters aussieht. Metabase, Salesforce, HubSpot, ein Analytics-Dashboard, eine Support-Plattform: Jedes davon ist eine Tür zu deiner Kundenliste, die du nicht kontrollierst und selten prüfst. Für deutsche Unternehmer kommt hinzu, dass eine solche Verletzung des Schutzes personenbezogener Daten der zuständigen Landesdatenschutzbehörde unverzüglich, in der Regel binnen 72 Stunden nach Bekanntwerden, gemeldet werden muss, unabhängig davon, wo die eigentliche Schwachstelle saß.

Der praktische Schritt ist nicht, SaaS-BI-Werkzeuge aufzugeben. Er besteht darin, eine kurze Liste jedes Anbieters mit Schreib- oder Lesezugriff auf Kunden-PII zu erstellen, zu prüfen, welche davon Mehrfaktor-Authentifizierung nutzen und zügig patchen, und jeden direkt nach seiner Zeitachse für Vorfallsmeldungen zu fragen. Frameworks Kundschaft erfuhr es am vierten Tag. Plane für die eigene Meldung eine ähnlich kurze Frist ein und entscheide jetzt, nicht erst nach Eingang der E-Mail, was du deiner eigenen Kundschaft sagen wirst.

Weiterlesen: Atlassian Rovos Aus-Schalter schaltet nichts aus  |  Ihre Server erbten einen 18 Jahre alten Linux-Fehler