Benutzt hier jemand mongoDB-datenbanken?
Dann spielt mal ganz schnell die sicherheitsaktualisierung ein! Ansonsten könnt ihr den inhalt eurer datenbank auch gleich im klartext im internetz veröffentlichen.
Den Exploit hat der Technikchef der Softwarefirma Elastic „MongoBleed“ getauft und auf Github eingestellt. Laut ersten Berichten benötigt man dafür lediglich die IP-Adresse einer MongoDB-Instanz und kann verschiedene Inhalte aus dem Speicher abrufen, die im Klartext übermittelt werden. Weil er so leicht zu benutzen und MongoDB extrem weitverbreitet ist, dürfte die Lücke rasch in großem Umfang ausgenutzt werden […] können Angreifer einen Fehler in der Kompressionssoftware zlib ausnutzen, um auf nicht zurückgesetzten dynamischen Arbeitsspeicher (heap memory) zuzugreifen. Darin liegen möglicherweise noch alte Daten, etwa Passwörter, Schlüssel oder andere sensible Informationen. Schon dazu hieß es, dass dafür keine Zugangsdaten und nicht einmal eine Benutzerinteraktion benötigt werden
Weia!
(Ich muss bei so etwas immer ein bisschen grinsen, weil ich mich daran erinnere, wie diese ganzen noSQL-datenbanken so vor anderthalb bis zwei jahrzehnten damit angepriesen wurden, dass sie sicherer als „SQL-datenbanken“ seien, weil sie ja keine SQL injection ermöglichen. Und leute haben diesen kwatsch geglaubt. Leute, die ihre datenbankabfragen in PHP aus strings zusammengefummelt haben und das für die spitze des gipfelkreuzes der modernen programmierung gehalten haben und sich selbst natürlich für experten darin. Grüße auch an Little Bobby Tables!)
#Epic #Fail #Heise #Link #MongoDB #Security #zlib