超过650TB MongoDB数据在互联网上裸奔

著名安全专家兼Shodan搜索引擎的创建者John Matherly发现，超过650TB的MongoDB数据因数据库配置不当而暴露在互联网上，其中的大多数数据库都托管在Amazon.com、阿里巴巴集团和DigitalOcean运营的云计算平台上。

目前，至少有35000个受影响的MongoDB数据库暴露在互联网上，它们所包含的数据暴露在网络攻击风险之中。据估计，将近684.8TB的数据处于风险之中，最令人不安的是，受影响的数据还在一天天增加。

数据暴露原因分析

MongoDB是一款流行的可选开源数据库，很多公司已经在使用它，包括《纽约时报》、Ebay和Foursquare。John Matherly声称，约30000个数据库暴露在互联网上，因为管理员使用的是旧版本的MongoDB，而这些旧版本无法绑定到本地主机。

Matherly已经就包含漏洞的在线MongoDB警告了IT行业。在7月份他揭露，很多MongoDB管理员因采用不当配置或未打补丁的MongoDB版本，将约595.2TB的数据暴露在互联网上。今年7月，他发现近30000个未经身份验证的MongoDB实例，然后他决定长时间监控这些数据库的情况。

目前Matherly发现自今年7月份以来，又增加了5000个不安全的数据库实例，这个出乎意料的结果使得新版本的数据库不再有一个默认的安全配置。Matherly周二在一篇博文中写道：

“默认情况下，新版本的MongoDB只监听localhost。MongoDB 3.0详细描述的事实意味着，很多人将他们的MongoDB默认配置改成不安全的配置，同时使得任何防火墙都不能保护他们的数据库。可能的原因是用户升级他们的实例，但却使用了他们现有的、不安全的配置文件。”

影响范围 

最近，安全研究员Chris Vickery确认，这些数据库中暴露的信息与各种应用和服务的约2500万用户账户相关，其中包括1300万OS X优化程序MacKeeper用户。Vickery发现这些数据记录包括姓名、电子邮件地址、出生日期、邮政地址、私人信息和不安全的密码散列值。

Matherly观察到，大多数受影响的数据库都托管在Amazon.com、阿里巴巴集团和DigitalOcean运营的云计算平台上。

不幸的是，很多其他脆弱的数据库暴露在互联网上，这其中包括Redis、CouchDB、Cassandra和Riak，这一点经过了Matherly的证实。Matherly解释道：

“最后，我必须强调，这个问题并不是唯一存在MongoDB上，其实这种不当的配置问题同样存在于Redis、CouchDB、Cassandra和Riak上。”

*参考来源：SecurityAffairs，FB小编JackFree编译，有适当修改