转载

全网MongoDB数据库泄露数据量高达595.2TB

知名设备安全搜索引擎Shodan的创始人John Matherly表示,全网MongoDB数据库泄露数据量高达595.2TB。其中原因多是为MongoDB版本过于老旧或是随意放在公网没有经过身份验证。

风险描述

MongoDB是一个不错的开源SQL数据库,许多公司如“纽约时报”、“易趣”、“Foursquare”,都采用了这种数据库。当然,在中国的使用案例也很多,这点大家从安全漏洞报告平台的海量上报中就能看出。

MongoDB的最新版本是3.0.4,而直到2.4.14版本的MongoDB还默认监听的是0.0.0.0的地址,也就是说接受来自公网的直接访问。

自2012年Roman Shtylman提出这个漏洞以来,到现在还有不少躺枪的厂商,况且后来Roman Shtylman还发现不少MongoDB连基本的认证都没装。RMongoDB漏洞版本没有在mongodb.conf文件里配置bind_ip 127.0.0.1,这会让服务器暴露在公网里,犹如没穿衣服的少女处于虎视眈眈的大汉之中。正确的做法是尽可能把外网开放关掉,在管理需要的时候再开放,甚至干脆就不开放。MongoDB2.6也可能存在问题。

大多数暴露的数据库运行在云服务器上,如亚马逊、数字海洋(Digital Ocean)之类的云服务商。Roman Shtylman认为这是因为云镜像并不会经常更新,这才导致了数据版本老旧,以及不安全版本软件的部署。

大多不设防

Roman Shtylman的团队并不是第一次留意到MongoDB的安全,在2015年二月,他们曾宣布近四万的MongoDB实例容易受到网络攻击。在德国萨尔州大学的三名学生,在数千WEB服务器上发现MongoDB数据库运行在外网的TCP 27017端口,并没有适当的防御措施。

德国的专家小组报告说,他们不使用任何特殊的黑客工具,就可以轻易对这类MongoDB数据库进行读写操作。

相关阅读

三名德国学生发现,约40000个MongoDB数据库在无任何安全保护的情况下暴露于互联网,攻击者可以轻而易举的获得这些数据库的控制权限。查看更多

*参考来源: SA ,由FreeBuf小编dawner翻译整理,转载请注明来自FreeBuf黑客与极客(FreeBuf.COM)

正文到此结束
Loading...