Σάββατο, 18 Νοέμβριος 2017, 4:40 πμ

Ευπάθεια zero-day στο ‘PhPMoAdmin’ της MongoDB

mongodb database vulnerability

Το πρώτο πρόβλημα με τη MongoDB ήρθε στην επιφάνεια πριν δύο εβδομάδες περίπου, όταν πάνω από 40.000 οργανισμοί που χρησιμοποιούν το MongoDB βρέθηκαν απροστάτευτοι και εκτεθειμένοι σε επιθέσεις hackers. Τώρα, για ακόμα μια φορά, οι χρήστες των βάσεων της MongoDB φαίνεται ότι αντιμετωπίζουν σοβαρό πρόβλημα, καθώς μια ευπάθεια zero-day έχει γίνει γνωστή στην υπόγεια διαδικτυακή αγορά.

Η MongoDB, μια από τις γνωστότερες εταιρείες στον τομέα των NoSQL βάσεων δεδομένων, παρέχει βάσεις δεδομένων ανοιχτού κώδικα που χρησιμοποιούνται από κάθε μεγέθους εταιρείες που δραστηριοποιούνται σε διάφορους τομείς και σε πολλές εφαρμογές.

Ευπάθεια Zero-Day ‘PhPMoAdmin’

Η ευπάθεια zero-day στο ‘phpMoAdmin‘ ανακαλύφθηκε από τον hacker με το ψευδώνυμο “sp1nlock”. Το ‘phpMoAdmin‘ είναι ένα δωρεάν, ανοιχτού κώδικα, εργαλείο διαχείρισης, γραμμένο σε PHP, βασισμένο σε AJAX MongoDB GUI, που επιτρέπει την εύκολη διαχείριση της noSQL βάσης δεδομένων της MongoDB.

Σύμφωνα με πολλές δημοσιεύσεις σε υπόγεια forum, στα οποία μπορείς κάποιος να βρει exploits, η phpMoAdmin παρουσιάζει ευπάθεια Zero-Day Remote Code Execution, που επιτρέπει σε έναν μη εξουσιοδοτημένο χρήστη να αποκτήσει πρόσβαση σε ιστοσελίδες που χρησιμοποιούν το συγκεκριμένο εργαλείο.

Το exploit είναι διαθέσιμο και δουλεύει κανονικά!

Υπάρχει μεγάλη πιθανότητα οι developers της phpMoAdmin να μην έχουν ακόμα αντιληθφεί το σοβαρό πρόβλημα, ωστόσο το σίγουρο είναι ότι το πρόβλημα υφίσταται και ότι το exploit που είναι διαθέσιμο στην υπόγεια αγορά δουλεύει κανονικά.

Αγοραστές και hackers μπορεί να έχουν αποκτήσει ήδη το συγκεκριμένο exploit, με αποτέλεσμα δεκάδες χιλιάδες ιστοσελίδες να είναι εκτεθειμένες, από τη στιγμή μάλιστα που δεν έχει ανακοινωθεί κάποιο patch από τους developers.

Πώς να προστατεύσετε τις βάσεις δεδομένων της Mongo;

Οι χρήστες των βάσεων MongoDB καλό θα ήταν να αποφεύγουν να χρησιμοποιούν το phpMoAdmin έως ότου η ομάδα των developers να προσφέρει το απαραίτητο patch για να διορθωθεί η ευπάθεια zero-day.

Εναλλακτικά δωρεάν εργαλεία MongoDB GUI, που μπορούν να χρησιμοποιηθούν αντί του phpMoAdmin, είναι τα εξής:

  • RockMongo
  • MongoVUE
  • Mongo-Express
  • UMongo
  • Genghis

Ωστόσο, αν είστε χρήστης του αρχείου phpMoAdmin και δε θέλετε να το αντικαταστήσετε, τότε μια εύκολη εναλλακτική λύση είναι να περιορίσετε τη μη εξουσιοδοτημένη πρόσβαση, κλειδώνοντας με κωδικό τον φάκελο (directory) που περιέχει το αρχείο «moadmin.php» με τη χρήση του αρχείου .htaccess και του αρχείου .htpasswd στο οποίο θα καταχωρήσετε το όνομα χρήστη και τον κωδικό πρόσβασης. Επιπροσθέτως θα ήταν καλό το αρχείο .htpasswd να μην το αποθηκεύσετε σε φάκελο προσβάσιμο απο τους επισκέπτες του ιστοτόπου σας,  όπως:
«/home/your-account-name/public-html/»

Το πρώτο πρόβλημα με τη MongoDB ήρθε στην επιφάνεια πριν δύο εβδομάδες περίπου, όταν πάνω από 40.000 οργανισμοί που χρησιμοποιούν το MongoDB βρέθηκαν απροστάτευτοι και εκτεθειμένοι σε επιθέσεις hackers. Τώρα, για ακόμα μια φορά, οι χρήστες των βάσεων της MongoDB φαίνεται ότι αντιμετωπίζουν σοβαρό πρόβλημα, καθώς μια ευπάθεια zero-day έχει…
Χρήσιμο
Ευανάγνωστο

User Rating: Be the first one !
100

Δείτε επίσης:

WordPress: Άμεση ενημέρωση ασφαλείας στην έκδοση 4.7.3

Έαν είστε διαχειριστής ή κάτοχος WordPress ιστοσελίδας τότε πρέπει να προβείτε στην άμεση ενημέρωση της, …