L’Agence nationale de la sécurité des systèmes d’information a reconnu que son laboratoire d’innovation avait été touché par l’exploitation d’une faille de la plateforme Metabase. Au total, 118 comptes utilisateurs ont été compromis. Devant l’Assemblée nationale, son directeur général, Vincent Strubel, a décrit une attaque « illustratrice » de la menace, sans conséquences graves à ses yeux.
Début août 2026, Metabase, plateforme d’analyse de données open source, lance l’alerte : elle vient de détecter l’exploitation d’une faille de sécurité jusque-là inconnue contre sa solution. La vulnérabilité obtient un score de dix, le plus haut niveau possible. Après avoir obtenu l’accès à une instance, un attaquant pourrait « injecter du code SQL arbitraire » dans la base de données et obtenir ainsi un accès administrateur, prévient l’éditeur auprès des clients qui hébergent eux-mêmes le logiciel.
Metabase détaillera ensuite le mécanisme : une attaque en chaîne autour de la réinitialisation des mots de passe, qui exploite l’interaction de quatre couches de la base de code. Compte tenu de sa complexité, de la connaissance requise du code source et du comportement de deux dépendances imbriquées, l’entreprise estime qu’elle a nécessité d’importantes capacités liées aux grands modèles de langage.
118 comptes touchés à l’Anssi
Début septembre, le Cert-FR, rattaché à l’Anssi, indiquait avoir eu connaissance de nombreuses compromissions. L’agence figure elle-même parmi les victimes, comme elle l’a admis dans le premier point de situation de l’opération REACTIV. Pour son laboratoire d’innovation, l’exploitation de la faille a entraîné la compromission de 118 comptes utilisateurs Metabase, dont une trentaine de comptes d’utilisateurs externes. Les données concernées sont des statistiques d’utilisation, des identifiants, des courriels et des mots de passe hachés, détaille le Cert-FR.
L’agence utilise Metabase dans le cadre du développement de services numériques. Elle indique avoir mis à jour les instances vulnérables et renouvelé les mots de passe de l’ensemble des comptes. Ceux qui n’avaient pas été utilisés depuis plus de trois mois ont été désactivés.
« Pas l’attaque du siècle »
Devant l’Assemblée nationale, Vincent Strubel est revenu sur l’incident. Le directeur général de l’Anssi y voit une attaque « illustratrice » de la menace : elle a été détectée le jour même de la publication de la vulnérabilité et a visé tout un éventail d’administrations publiques, dont l’Anssi. Assez simple à mettre en œuvre, elle a ciblé un « outil très déployé, peu surveillé parce que finalement bien innocent ».
« Ce n’est pas l’attaque du siècle, cela n’a pas de conséquences graves, mais c’est important de la documenter », a conclu Vincent Strubel.
Source : ZDNet