Le fabricant d'ordinateurs portables Framework révèle une fuite de données après qu'une faille « zero-day » a touché le fournisseur d'outils d'analyse Metabase

Framework a envoyé un e-mail à ses clients pour les informer d’une fuite de données ayant exposé des informations personnelles après que Metabase, son fournisseur de solutions de veille économique, a subi une attaque « zero-day ». Cet e-mail a été partagé par l’utilisatrice de Reddit MeLikaDoTheChaCha. Framework a envoyé cette notification dans la soirée du jeudi 6 août, indiquant que les noms des clients, leurs adresses IP de connexion, leurs adresses postales, leurs numéros de téléphone et leurs adresses e-mail avaient été consultés. 

Metabase a révélé l’attaque le 6 août, avertissant que sa plateforme Metabase Cloud avait été compromise par une vulnérabilité jusque-là inconnue affectant les versions 1.58 et supérieures. L’entreprise a ajouté que les installations auto-hébergées étaient également exposées à ce risque. L’attaquant aurait exploité cette faille pour injecter du code SQL arbitraire dans la base de données de l’application, ce qui lui aurait potentiellement permis d’obtenir des droits d’administrateur et d’exposer les identifiants stockés dans la base de données.

Framework indique avoir renouvelé ses identifiants dès qu’elle en a été informée et confirmé qu’aucun changement n’avait été constaté au niveau des accès administratifs ou des systèmes en dehors de Metabase. Le porte-parole Eric Schumacher a déclaré à TechCrunch que la faille avait touché « tous les clients », mais a refusé de donner un chiffre précis. Framework enquête toujours pour déterminer si les clients du segment « Business » ont également été affectés. On sait également que cette faille « zero-day » de Metabase a touché au moins une autre entreprise, Tally.