Utilizzando il particolare motore di ricerca Shodan, un gruppo di ricercatori della Saarlang University ha scoperto decine di migliaia database server MongoDB liberamente accessibili da internet.

Ricordiamo, per chi non lo sapesse, che MongoDB è un database server di tipo NoSQL molto utilizzato da siti ad alte prestazioni come Craigslist, eBay, SourceForge e molti altri. I ricercatori, senza alcun tool particolare e, soprattutto, senza bypassare alcuna misura di sicurezza, hanno avuto libero accesso – in lettura e scrittura – a tutta la base dati.

C’è da notare che tra le prime 39.890 istanze scoperte, due di queste sono francesi e appartengono ad un Internet Service Provider e ad una grande TelCo. Solo da queste due istanze i ricercatori sono riusciti ad estrarre informazioni anagrafiche e di pagamento di milioni di ignari clienti francesi.

C’è effettivamente da chiedersi il perché di tutta questa superficialità nella configurazione di database così importanti: i ricercatori, dopo aver notificato agli interessati la grave situazione, hanno dichiarato che la causa è, a loro avviso, la mancanza di linee guida nell’ hardening di MongoDB e soprattutto il fatto che nell’installazione di default è abilitato solo l’accesso locale, che viene disattivato, nel tempo di un wq! di Vim, da sysadmin ultra stressati e magari anche sottopagati.

Mario Ciccarelli

Alto biondo e ricciolino, ecco esattamente il contrario.