KUTIM-CSIRT mengimbau Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengoperasikan Metabase — perangkat business intelligence dan visualisasi data yang lazim dipakai untuk dasbor pelaporan — untuk segera menindaklanjuti kerentanan CVE-2026-72898. Kerentanan ini berskor CVSS 10,0 (Critical), nilai tertinggi yang mungkin diberikan.

Dari seluruh advisory dalam edaran BSSN kali ini, hanya kerentanan inilah yang tercatat dalam katalog Known Exploited Vulnerabilities (KEV) CISA — artinya eksploitasinya bukan lagi kemungkinan teoretis, melainkan sudah terkonfirmasi terjadi di dunia nyata. CISA memasukkannya ke katalog pada 11 Agustus 2026 dengan tenggat penanganan 14 Agustus 2026, tenggat yang sangat pendek dan mencerminkan tingkat kegentingannya.

Ikhtisar

CVE-2026-72898 adalah kerentanan SQL Injection (CWE-89) pada endpoint /api/session/reset_password Metabase, dengan vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.

Mekanisme pemulihan kata sandi Metabase tidak melakukan sanitasi masukan pengguna dengan benar sebelum menyusunnya menjadi perintah SQL. Karena endpoint ini secara desain harus dapat diakses oleh pengguna yang belum masuk — orang yang lupa kata sandi tentu tidak bisa login lebih dulu — celah ini dapat dieksploitasi tanpa autentikasi sama sekali, dari jarak jauh, dan tanpa memerlukan interaksi korban.

Dampak

• Penyerang tanpa akun dapat menyisipkan perintah SQL sewenang-wenang melalui endpoint pemulihan kata sandi.
• Eksploitasi lanjutan memungkinkan penyerang memperoleh hak akses administrator pada instance Metabase yang terdampak.
• Dengan akses administrator, penyerang menguasai seluruh database connection yang terdaftar di Metabase. Ini adalah dampak yang paling sering diremehkan: Metabase menyimpan kredensial ke basis data lain, sehingga satu instance yang jebol dapat membuka jalan ke basis data produksi di belakangnya.
• Nilai S:C (Scope: Changed) pada vektor CVSS justru menegaskan hal tersebut — dampaknya melampaui batas aplikasi Metabase itu sendiri.
• Data analitik dan laporan dinas dapat dibaca, diubah, maupun dihapus.

Sistem yang Terdampak

Metabase merilis perbaikan pada banyak jalur versi sekaligus. Perhatikan bahwa jalur 0.x adalah edisi Open Source dan 1.x adalah edisi Enterprise/Pro — keduanya terdampak.

Cara membaca tabel: setiap baris adalah satu jalur rilis yang berdiri sendiri. Menaikkan versi ke rilis terakhir di dalam jalur yang sama sudah cukup — pengguna 0.60.x tidak wajib melompat ke 0.63.x, cukup naik ke 0.60.17.

Detail Teknis

Kerentanan SQL Injection muncul ketika aplikasi merangkai perintah SQL dengan cara menempelkan masukan pengguna langsung ke dalam teks perintah, bukan mengirimkannya terpisah sebagai parameter. Dalam kondisi itu, masukan yang mengandung karakter khusus SQL tidak lagi diperlakukan sebagai data, melainkan sebagai bagian dari perintah — sehingga penyerang dapat menyisipkan logika buatannya sendiri ke dalam kueri yang dijalankan server.

Yang membuat CVE-2026-72898 sangat berbahaya adalah lokasinya. Sebagian besar celah SQL Injection setidaknya mensyaratkan penyerang sudah masuk ke sistem. Endpoint pemulihan kata sandi, sebaliknya, wajib terbuka untuk publik agar fungsinya berjalan. Akibatnya tidak ada satu pun lapisan autentikasi yang perlu ditembus lebih dulu, dan seluruh permukaan serangan terekspos kepada siapa pun yang dapat menjangkau instance Metabase melalui jaringan.

Kombinasi AV:N (dapat diserang lewat jaringan), AC:L (kompleksitas rendah), PR:N (tanpa hak akses), dan UI:N (tanpa interaksi pengguna) inilah yang mendorong skor ke angka sempurna 10,0.

Rekomendasi

1. Perbarui Metabase ke rilis perbaikan pada jalur versi yang Anda gunakan (lihat tabel di atas). Ini adalah tindakan wajib, bukan opsional — kerentanan ini sudah dieksploitasi secara aktif.
2. Pastikan pembaruan mencakup seluruh lingkungan: produksi, staging, pengembangan, serta penggelaran berbasis kontainer (containerized deployment). Instance staging yang terlupakan sering menjadi pintu masuk karena dianggap tidak penting, padahal kerap terhubung ke basis data yang sama.
3. Anggap instance yang belum ditambal sebagai berpotensi telah dikompromikan. Karena celah ini sudah masuk KEV, pembaruan saja tidak menghapus jejak penyusupan yang mungkin sudah terjadi. Lakukan pemeriksaan pasca-tambal.
4. Rotasi seluruh kredensial basis data yang pernah tersimpan di dalam Metabase apabila instance sempat terekspos ke internet dalam kondisi rentan.
5. Periksa daftar akun administrator Metabase; hapus akun yang tidak dikenali dan tinjau ulang perubahan konfigurasi terakhir.
6. Batasi akses jaringan ke antarmuka Metabase — letakkan di balik VPN atau firewall dan buka hanya untuk jaringan dinas. Metabase adalah alat internal; nyaris tidak pernah ada alasan sah untuk mengeksposnya langsung ke internet.
7. Telusuri log akses untuk permintaan tidak wajar ke jalur /api/session/reset_password, terutama yang berulang atau berisi karakter kutip dan kata kunci SQL.
8. Terapkan pemantauan dan audit log secara berkala pada aktivitas basis data yang terhubung.

Referensi

• BSSN/Id-SIRTII – Security Advisory CVE-2026-72898 pada Perangkat Metabase (edaran sumber)
• NVD – CVE-2026-72898
• GitHub Security Advisory – GHSA-vwf4-m7j8-wcjf
• Metabase – Security Update
• CISA – Known Exploited Vulnerabilities Catalog
• MITRE CWE-89 – SQL Injection