600TB cơ sở dữ liệu MongoDB ‘vô tình’ bị phơi bày trên Internet

Các quản trị hệ thống đã công khai gần 600 Terabyte (TB) cơ sở dữ liệu MongoDB do chạy các phiên bản cũ và chưa được vá của các cơ sở dữ liệu NoSQL MongoDB.

Mã nguồn mở MongoDB là cơ sở dữ liệu NoSQL phổ biến nhất được sử dụng bởi các công ty thuộc mọi quy mô, từ eBay và Sourceforge tới The New York Times và LinkedIn.

Theo đại diện của Shodan, John Matherly, gần 30.000 trường hợp MongoDB có thể truy cập công khai qua Internet mà không cần bất kỳ hình thức xác thực nào.

Cơ sở dữ liệu MongoDB khổng lồ này không bị phơi bày do một lỗ hổng trong phiên bản mới nhất của phần mềm, mà do việc sử dụng các các phiên bản hết hạn và chưa được vá của nền tảng này mà không bám vào localhost.

Trong khi điều tra cơ sở dữ liệu NoSQL, Matherly tập trung vào MongoDB đang phát triển phổ biến.

Vấn đề bảo mật lần đầu tiên được Roman Shtylman báo cáo là một lỗ hổng quan trọng xuất hiện vào tháng 2/2012, nhưng đã khiến các nhà phát triển MongoDB mất hơn hai năm để khắc phục lỗ hổng bảo mật này.

Bị ảnh hưởng, các phiên bản lỗi thời của cơ sở dữ liệu MongoDB không có một thiết lập tùy chọn ‘127.0.0.1 bind_ip’ trong mongodb.conf, có khả năng khiến máy chủ của người sử dụng dễ bị xâm nhập nếu họ không biết về thiết lập này.

Theo Shtylman, “Mặc định nên được để lockdown càng nhiều càng tốt và chỉ xuất hiện nếu người dùng yêu cầu nó”.

Các phiên bản bị ảnh hưởng

Trường hợp trước đó của phiên bản 2.6 có vẻ đã bị ảnh hưởng, khiến người dùng cơ sở dữ liệu MongoDB phiên bản 2.4.9 và 2.4.10, tiếp theo là 2.6.7, có nguy cơ bị xâm nhập.

Đa số các trường hợp MongoDB bị công khai chạy trên các máy chủ đám mây như Amazon, Digital Dương, Linode, và dịch vụ Internet và nhà cung cấp hosting OVH… mà không cần xác thực, làm cho dịch vụ đám mây nhiều lỗi hơn trung tâm dữ liệu lưu trữ.

“Tôi đoán là hình ảnh đám mây không được cập nhật thường xuyên, từ đó khiến mọi người triển khai các phiên bản cũ và không an toàn của phần mềm”, Matherly cho biết.

Người dùng bị ảnh hưởng đang được đề nghị ngay lập tức chuyển sang phiên bản mới nhất càng sớm càng tốt.

Đây không phải là lần đầu tiên xảy ra trường hợp MongoDB bị công khai trên Internet, vào tháng 2 các nhà nghiên cứu Đức phát hiện gần 40.000 trường hợp MongoDB có sẵn trên Internet.

THN