Der Laptop-Hersteller Framework ist Opfer eines Datendiebstahls geworden. Laut dem Unternehmen wurden dabei Kontakt- und Lieferdaten von Privat- und Geschäftskunden entwendet.
Zahlungs- und Bestellinformationen waren von dem Vorfall nicht betroffen, gab Framework mit. Die Angreifer nutzten eine Zero-Day-Schwachstelle in Metabase aus, um den Zugriff zu ermöglichen.
Schwachstelle in Metabase als Ursache
Metabase identifizierte am 3. August einen Angriff auf seine Cloud-Instanzen, der über eine zuvor unbekannte Zero-Day-Lücke erfolgte. Die Schwachstelle befindet sich im API-Endpunkt für das Zurücksetzen von Benutzerpasswörtern. Betroffen sind die Metabase-Versionen 58 bis 63, was sowohl die Cloud-Lösung als auch selbst gehostete Versionen einschließt.
Schweregrad der Metabase-Schwachstelle
Metabase veröffentlichte nach der Entdeckung Sicherheitswarnungen und Updates. Das Unternehmen erklärte, dass Cloud-Kunden bereits geschützt seien, machte jedoch keine Angaben zur Anzahl der Kunden, die bereits von Datenlecks betroffen waren.
Reaktion von Framework
Framework hat die zuständigen Aufsichtsbehörden über den Angriff informiert und ein IT-Forensik-Unternehmen mit der Untersuchung des Vorfalls beauftragt. Zudem wurden die Zugangsdaten für die Metabase-Cloud-Datenbank von Framework geändert.
