Platform perangkat lunak intelijen bisnis (BI) dan visualisasi data populer, Metabase, saat ini tengah berada dalam pusaran eksploitasi siber aktif. Perusahaan secara resmi mengeluarkan peringatan terkait kerentanan keamanan zero-day (belum memiliki identifikasi CVE) yang membawa skor keparahan absolut: CVSS 10.0 (Maksimum).

Cacat fundamental ini memungkinkan aktor ancaman jarak jauh yang tidak diautentikasi (unauthenticated remote attacker) untuk menyuntikkan kode SQL arbitrer (SQL Injection) langsung ke dalam basis data aplikasi Metabase. Mengingat perangkat lunak BI bertindak sebagai "jembatan utama" yang terhubung ke gudang data (data warehouse) inti perusahaan, kerentanan ini memberikan penyerang "kunci kerajaan" untuk membobol seluruh ekosistem data korporat.

Baca Juga: Evaluasi Keamanan AISI Ungkap Agen AI Ciptakan Identitas Palsu untuk Manipulasi Manusia

Kerentanan ini bermula pada kelemahan fatal di titik akhir (endpoint) pengaturan ulang kata sandi.

Rantai Dampak Taktis: Setelah injeksi SQL berhasil, peretas seketika mendapatkan akses tingkat Administrator. Dengan eskalasi hak istimewa ini, peretas mampu:

1. Mengubah konfigurasi aplikasi secara sewenang-wenang.
2. Mencuri kredensial basis data (sandi, token, keys) yang terhubung ke Metabase.
3. Membaca dan mengekstrak seluruh data sensitif yang dapat diakses melalui koneksi basis data tersebut.

Indikator Kompromi (IoC) untuk Tim SOC: CEO Metabase, Sameer Al-Sakran, merilis pola pelacakan spesifik. Tim Pusat Operasi Keamanan (SOC) harus memindai log masuk (ingress logs) peladen Metabase untuk menemukan pola berurutan berikut:

1. Panggilan ke POST /api/session/reset_password yang menghasilkan kode status 400.
2. Diikuti seketika oleh panggilan ke GET /api/user/current yang menghasilkan kode status 200. (Jika pola ini terdeteksi, instans Metabase korporasi Anda hampir dipastikan telah dikompromikan).

Eksploitasi ini bukan sekadar ancaman teoretis. Framework, produsen PC global, mengonfirmasi bahwa mereka adalah salah satu korban peretasan ini. Nama pelanggan, IP login, alamat fisik, nomor telepon, dan email berhasil dieksfiltrasi oleh peretas (meskipun data pembayaran dilaporkan aman).

Secara historis, Metabase memiliki rekam jejak kerentanan yang mengkhawatirkan. Tepat tiga tahun lalu (Agustus 2023), platform ini juga dihantam kerentanan RCE pra-otentikasi yang sangat parah (CVE-2023-38646, CVSS 9.8).

Instans Metabase Cloud telah diperbarui secara otomatis. Namun, bagi korporasi yang menjalankan versi Self-Hosted, penambalan harus dilakukan hari ini juga.

Mitigasi Sementara & Tindakan Pasca-Penambalan: Jika penambalan tidak dapat dilakukan segera, blokir lalu lintas menuju titik akhir /api/session/reset_password pada WAF Anda. Setelah sistem diperbarui, admin wajib:

1. Menghapus semua baris di tabel core_session (mencabut semua sesi aktif).
2. Memeriksa dan menghapus API Key yang tidak dikenal.
3. Merotasi/mengganti seluruh kredensial basis data yang pernah terhubung ke Metabase.

Bagi Eksekutif C-Level (CTO, CIO, CISO) di sektor perbankan, e-commerce, maupun BUMN, insiden Metabase (CVSS 10.0) ini menggarisbawahi risiko sistemik dari Kerentanan Perangkat Lunak Pihak Ketiga (Supply Chain/Third-Party Risk).

Aplikasi Intelijen Bisnis (BI) dirancang untuk memiliki akses baca (read access) ke kumpulan data paling rahasia di perusahaan Anda. Ketika aplikasi ini terekspos ke internet publik tanpa segmentasi yang memadai, satu celah zero-day cukup untuk meruntuhkan seluruh arsitektur perlindungan data Anda.

Analisis Taktis & Keuntungan Tata Kelola Bisnis:

1. Arsitektur Akses Tertutup (Zero-Trust): Aplikasi pengolahan data internal seperti Metabase tidak boleh terpapar langsung ke internet publik (Public-Facing). Akses harus diwajibkan melalui Virtual Private Network(VPN) korporat atau portal Zero-Trust Network Access (ZTNA) dengan MFA berlapis.
2. Otomatisasi Rotasi Kredensial: Perintah untuk "merotasi kredensial basis data" sering kali memicu mimpi buruk operasional (downtime) bagi tim TI. Perusahaan harus menerapkan arsitektur Vault (Manajemen Rahasia) yang memungkinkan rotasi kredensial basis data secara dinamis tanpa merusak integrasi aplikasi.
3. Pemantauan Query Anomali: Pusat Operasi Keamanan (SOC) harus memonitor log pada basis data inti (Data Warehouse). Jika Metabase tiba-tiba mengeksekusi query massal untuk mengekstrak seluruh tabel PII pada pukul 2 pagi, sistem harus memblokir anomali tersebut secara otomatis (Behavioral Analytics).

Jangan biarkan alat visualisasi data Anda berubah menjadi pintu belakang (backdoor) bagi peretas untuk menguras aset informasi perusahaan.