Las versiones antiguas de la base de datos NoSQL llamada MongoDB son vulnerables desde finales del año 2011, pero todavía quedan muchas instancias por actualizar según el investigador de seguridad John Matherly de Shodan.







Los Administradores de MongoDB exponen accidentalmente 600TB de datos

MongoDB

MongoDB es un sistema de base de datos NoSQL orientado a documentos, desarrollado bajo el concepto de código abierto. MongoDB forma parte de la nueva familia de sistemas de base de datos NoSQL.

Las versiones antiguas contienen agujero de seguridad

 Los administradores de sistemas de la base de datos MongoDB han expuesto involuntariamente casi 600 terabyes de datos ejecutando versiones sin parchear y antiguas del software de código abierto, según un investigador de seguridad.

John Matherly de Shodan  dijo que casi 30.000 bases de datos habían sido expuestos ya que los administradores estaban utilizando versiones no actualizadas de la base de datos NoSQL que fallan al escuchar en en el localhost.









"Hay un total de 595.2TB de los datos expuestos en el Internet a través de las instancias MongoDB de acceso público que no tienen ningún tipo de autenticación", dijo.

"Resulta que MongoDB versión 2.4.14 parece ser la última versión que todavía escuchaba 0.0.0.0 [en el que la plataforma recibe las conexiones en todas las interfaces] por defecto, que se parece a una versión de mantenimiento realizado en 28 de abril 2015 ".

El problema de seguridad había sido traído a la luz hace más de tres años como una vulnerabilidad crítica, pero tardó más de dos años en cambiar la configuración, dijo Matherly.

Versiones mayores afectadas de MongoDB carecen de una opción '127.0.0.1 bind_ip' set en el mongodb.conf, dejando a su servidor vulnerable si el usuario no es consciente de la configuración, el asesor de seguridad declaró en 2012



."El defecto debe ser lockdown tanto como sea posible y sólo exponga si el usuario lo solicita."

Matherly dijo que parecía que las versiones anteriores a 2.6 se vieron afectados - un problema importante mayoría de los usuarios dados son de la versión 2.4.9 y 2.4.10, seguido de 2.6.7, escribió.

shodan download --limit -1 mongodb "product:MongoDB"

1. local: 27,108
2. admin: 22,286
3. db: 9,895
4. test: 6,818
5. config: 1,119
6. mydb: 498
7. Video: 409
8. hackedDB: 319
9. storage: 315
10. trash: 309

Según Matherly, la mayor parte de los datos expuestos se ejecuta en las instancias de la nube como Amazon, Linode, Océano Digital y servicio de Internet y proveedor de hosting OVH.

"Mi conjetura es que las imágenes de la nube no se actualizan con la frecuencia, lo que se traduce en las personas que implementan versiones antiguas e inseguras de software", dijo Matherly.

Aconsejó a los de las versiones afectadas de actualizar tan pronto como sea posible.


Fuentes:
https://blog.shodan.io/its-the-data-stupid/
http://www.itnews.com.au/News/406845,mongodb-admins-accidentally-expose-600tb-of-data.aspx