漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-037079
漏洞标题：敏感信息泄露系列#3 脉搏网数据库对外开放且密码为空
相关厂商：vmaibo.com
漏洞作者： 猪猪侠
提交时间：2013-09-14 07:10
修复时间：2013-10-29 07:11
公开时间：2013-10-29 07:11
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-09-14： 细节已通知厂商并且等待厂商处理中
2013-09-15： 厂商已经确认，细节仅向厂商公开
2013-09-25： 细节向核心白帽子及相关领域专家公开
2013-10-05： 细节向普通白帽子公开
2013-10-15： 细节向实习白帽子公开
2013-10-29： 细节向公众公开
简要描述：
数据库可以外连，且密码为空，这个泄露得严重了点
一个微不足道的信息泄露问题就能造成整个企业安全的崩盘。
详细说明：
#1 MangoDB 管理地址对外，数据库服务地址对外
服务器信息接口：
可能不停的刷新这个SQL执行页面，就能刷到李开复的微博TOKEN
#2 mangodb 数据库对外开放，且无需用户认证
漏洞证明：
# 均可远程管理数据库
修复方案：
#1 针对mangodb 加入访问控制规则，ip白名单
#2 对mangodb开启验证机制
#3 服务器信息端口28017关闭
版权声明：转载请注明来源 猪猪侠@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2013-09-15 10:27
厂商回复：
sorry，疏忽了，谢谢猪猪侠！
最新状态：
暂无