ANCI confirma explotación activa de inyección SQL en Metabase

El CSIRT Nacional detectó ataques en curso contra instancias expuestas de la herramienta de business intelligence, con un patrón de dos llamadas HTTP que permite detectar el compromiso incluso antes de que se conozca el CVE oficial.

Qué pasó

El CSIRT Nacional publicó la alerta AVC26-00733, categoría *Vulnerabilidad Crítica*, dirigida explícitamente a proveedores de servicios esenciales (PSE) y operadores de importancia vital (OIV). Según ANCI, existe explotación activa de una vulnerabilidad que permite a un atacante no autenticado ejecutar inyección SQL remota contra la base de datos de Metabase.

Las consecuencias que describe la alerta son:

• modificación o creación de cuentas administrativas;
• robo de credenciales;
• lectura y posible exfiltración de datos.

ANCI entrega además el patrón de detección que usó para calificar la actividad como compromiso activo, no solo como intento:

1. POST /api/session/reset_password → respuesta HTTP 400.
2. Inmediatamente después, GET /api/user/current → respuesta HTTP 200.

La secuencia sugiere que el atacante fuerza un estado de error controlado en el endpoint de reseteo de contraseña —consistente con una inyección SQL usada para alterar la lógica de autenticación— y luego confirma que quedó con una sesión válida consultando el usuario actual.

No sabemos cuál es el CVE asociado: ANCI no lo publicó en esta alerta, y tampoco especifica qué versiones de Metabase están afectadas ni cuál es la versión parchada. Esto es una alerta de comportamiento observado, no un aviso de fabricante con changelog.

Por qué importa acá

Metabase es una herramienta de *business intelligence* de código abierto muy usada en Chile —retail, fintechs, back office bancario y áreas de datos de empresas medianas— justamente porque es rápida de desplegar y suele conectarse directo a bases de datos productivas para armar dashboards. Esa misma característica es el problema: una instancia de Metabase comprometida no es solo un panel de reportes tomado, es una puerta a la base de datos que tiene detrás, muchas veces con credenciales de lectura amplia.

ANCI dirige la alerta específicamente a PSE y OIV, lo que activa el deber de evaluar si un compromiso de este tipo constituye un incidente reportable bajo la Ley 21.663. No citamos plazos porque ANCI no los especificó en esta alerta; cada organización calificada como OIV o PSE debe revisar el plazo que corresponde según su categoría.

Sobre la confirmación

Esta alerta proviene de una única fuente: ANCI. Es una fuente primaria —organismo con visibilidad de telemetría nacional— lo que da confianza alta al hecho de que existe explotación activa. Pero no tenemos todavía una segunda fuente primaria (el fabricante, CISA, o research independiente) que confirme el vector técnico exacto o el CVE. Con una fuente primaria más, o con tres fuentes cualesquiera, pasaríamos de indicio a patrón confirmado; por ahora, lo correcto es tratar el mecanismo exacto de la inyección SQL como hipótesis razonable y no como hecho cerrado.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — El vector reportado es una inyección SQL no autenticada contra un endpoint de Metabase expuesto a internet; es la puerta de entrada de todo el resto de la cadena.
• T1136.001 — ANCI describe explícitamente la creación o modificación de cuentas administrativas dentro de Metabase como resultado de la explotación.
• T1078 — La llamada exitosa a /api/user/current con HTTP 200 indica que el atacante queda operando con una sesión/cuenta válida, no con acceso directo a la base de datos.
• T1213 — Metabase existe para consultar y exponer datos de bases de datos conectadas; una vez con cuenta administrativa, la exfiltración se hace a través de las mismas consultas que la herramienta ya está diseñada para ejecutar.

POST /api/session/reset_password (HTTP 400) seguido de GET /api/user/current (HTTP 200), mismo origen

title: Explotación activa de Metabase - patrón reset_password + user/current
id: 8f2e1c4a-9b31-4a56-9abc-metabase001
status: experimental
description: Detecta el patrón de explotación reportado por ANCI (AVC26-00733) para la vulnerabilidad de inyección SQL no autenticada en Metabase.
references:
  - https://csirt.gob.cl/alertas/AVC26-00733/
logsource:
  category: webserver
detection:
  selection_reset:
    cs-method: POST
    cs-uri-stem|contains: '/api/session/reset_password'
    sc-status: 400
  selection_current:
    cs-method: GET
    cs-uri-stem|contains: '/api/user/current'
    sc-status: 200
  condition: selection_reset and selection_current
fields:
  - c-ip
  - cs-uri-stem
  - sc-status
falsepositives:
  - Reintentos legítimos de reseteo de contraseña seguidos de un inicio de sesión normal
level: high
tags:
  - attack.initial_access
  - attack.t1190

index=web_proxy OR index=metabase sourcetype=access_combined
| eval etapa=case(uri_path="/api/session/reset_password" AND method="POST" AND status=400, "reset", uri_path="/api/user/current" AND method="GET" AND status=200, "current")
| where isnotnull(etapa)
| transaction clientip maxspan=10m startswith=(etapa="reset") endswith=(etapa="current")
| where eventcount>=2
| table clientip, _time, uri_path, status

let ventana = 10m;
let resetAttempts = CommonSecurityLog
| where RequestURL has "/api/session/reset_password" and RequestMethod == "POST" and DeviceEventClassID == "400"
| project TimeGenerated, SourceIP, RequestURL;
let userCurrent = CommonSecurityLog
| where RequestURL has "/api/user/current" and RequestMethod == "GET" and DeviceEventClassID == "200"
| project TimeGenerated2=TimeGenerated, SourceIP, RequestURL2=RequestURL;
resetAttempts
| join kind=inner userCurrent on SourceIP
| where TimeGenerated2 - TimeGenerated between (0min .. ventana)
| project SourceIP, TimeGenerated, TimeGenerated2, RequestURL, RequestURL2

<rule id="100730" level="10">
  <if_sid>31108</if_sid>
  <field name="http_method">POST</field>
  <url>/api/session/reset_password</url>
  <status>400</status>
  <description>Metabase: posible inicio de secuencia de explotación (reset_password 400)</description>
  <group>metabase,sql_injection,anci,</group>
</rule>
<rule id="100731" level="14" frequency="1" timeframe="600">
  <if_matched_sid>100730</if_matched_sid>
  <field name="http_method">GET</field>
  <url>/api/user/current</url>
  <status>200</status>
  <description>Metabase: secuencia de explotación completa (AVC26-00733) - reset_password 400 seguido de user/current 200</description>
  <group>metabase,sql_injection,anci,</group>
</rule>

Fuentes

• ANCIAVC26-00733 - Metabase, Vulnerabilidad Crítica · 2026-08-26

Relacionado