Исходное сообщение
"Некорректно настроенные серверы MongoDB являются источником ..." Отправлено opennews, 17-Дек-15 20:47
В начале года группа исследователей обратила внимание (https://www.opennet.ru/opennews/art.shtml?num=41661) на наличие в сети около 40 тысяч серверов MongoDB, доступных для внешних запросов из-за проблем с настройкой аутентифицированного доступа. John Matherly, создатель поискового движка Shodan, спустя десять месяцев повторил (https://blog.shodan.io/its-still-the-data-stupid/) опыт и пришёл к выводу, что в сети до сих пор присутствует (https://www.shodan.io/report/nlrw9g59) около 35 тысяч незащищённых серверов MongoDB, общий размер данных на которых составляет  684.8 Тб. Среди доступных для свободного доступа данных оказалось более 25 млн пользовательских аккаунтов различных приложений и сервисов. В том числе проблемы с настройкой доступа к MongoDB стали причиной утечки (https://krebsonsecurity.com/2015/12/13-million-mackeeper-use.../) параметров 13 миллионов пользователей программы MacKeeper, предназначенной для оптимизации OS X. Среди информации, которую можно получить через обращение к незащищённым серверам  MongoDB, отмечаются приватные сообщения пользователей, персональные данные абонентов и хэши паролей. Большинство незащищённый экземпляров  MongoDB  размещены на облачных хостингах от Amazon, DigitalOcean и Alibaba. Примечательно, что проведение аналогичного исследования в июле выявило лишь около 30 тысяч незащищённых серверов MongoDB и с тех пор число открытых БД MongoDB увеличилось. При этом наиболее популярной версией  MongoDB среди незащищённых систем  является 3.0.7, что вызывает удивление так как начиная с версии 3.0 MongoDB по умолчанию принимает только локальные запросы, прикрепляясь к "localhost". Т.е. для приёма запросов с внешних адресов требуется явное изменение конфигурации, ведущее к снижению безопасности. Судя по всему подобные незащищённые настройки могли стать следствием невнимательного обновления с ветки 2.x, в которой настройки по умолчанию подразумевали присоединение ко всем сетевым интерфейсам без задания параметров аутентификации. URL: https://blog.shodan.io/its-still-the-data-stupid/ Новость: http://www.opennet.ru/opennews/art.shtml?num=43540