当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-066883

漏洞标题：新浪微米mongodb未授权访问

相关厂商：新浪

漏洞作者： 孤独雪狼

提交时间：2014-07-01 17:22

修复时间：2014-08-15 17:24

公开时间：2014-08-15 17:24

漏洞类型：系统/服务运维配置不当

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-07-01： 细节已通知厂商并且等待厂商处理中
2014-07-01： 厂商已经确认，细节仅向厂商公开
2014-07-11： 细节向核心白帽子及相关领域专家公开
2014-07-21： 细节向普通白帽子公开
2014-07-31： 细节向实习白帽子公开
2014-08-15： 细节向公众公开

简要描述：

mongodb挺火的，以前不知道咋利用 呵呵 这个洞在SSRC提交了 2分

详细说明：

在SSRC提交后 确认了只有2分 一共提交了三个mongodb 三个加一起就8分

1.png


http://gitlab.hiwemeet.com:28017/

漏洞证明：

客户端连接端口27017 直接无需密码

2.png

修复方案：

版权声明：转载请注明来源 孤独雪狼@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：3

确认时间：2014-07-01 18:28

厂商回复：

感谢关注新浪安全，测试服务器，数据库不涉及敏感信息

最新状态：

暂无

漏洞评价：

评论

  1. 2014-07-01 17:23 | 孤独雪狼 ( 普通白帽子 | Rank:710 漏洞数:145 | 七夕手机被偷，这坑爹的七夕啊 。。。。)

    第一次秒过 晚上世界杯买2块钱庆祝下

  2. 2014-07-01 17:24 | 瘦蛟舞 认证白帽子 ( 普通白帽子 | Rank:687 漏洞数:78 | 铁甲依然在)

    @孤独雪狼 sina明显希望你提交ssrc，照此推断这边有可能给1分。

  3. 2014-07-01 17:28 | p0di ( 普通白帽子 | Rank:121 漏洞数:17 | 1+1 = 2 ？)

    怎么感觉突然间蹦出来这么多mongodb

  4. 2014-07-01 17:28 | 泳少 ( 普通白帽子 | Rank:231 漏洞数:79 | ★ 梦想这条路踏上了，跪着也要...)

    请孤独雪狼白帽子能够提交给SRC！谢谢您的合作。再见！

  5. 2014-07-01 17:29 | 梧桐雨 认证白帽子 ( 核心白帽子 | Rank:1576 漏洞数:184 | 关注技术与网络安全)

    应该，8分

  6. 2014-07-01 17:29 | 泳少 ( 普通白帽子 | Rank:231 漏洞数:79 | ★ 梦想这条路踏上了，跪着也要...)

    @梧桐雨 出差完回来了么！

  7. 2014-07-01 17:29 | 孤独雪狼 ( 普通白帽子 | Rank:710 漏洞数:145 | 七夕手机被偷，这坑爹的七夕啊 。。。。)

    @瘦蛟舞 我已经在那边提交过 然后2分 然后他们说修复了 他们说修复了 那我再提交算新洞了吧

  8. 2014-07-01 17:31 | 孤独雪狼 ( 普通白帽子 | Rank:710 漏洞数:145 | 七夕手机被偷，这坑爹的七夕啊 。。。。)

    对了 忘记声明了：该洞以前在SSRC提交过 他们确认了并说修复了 修复后再提交按理说算新洞了吧 所以上面说的提交是以前提交了 这次没提交

  9. 2014-07-01 17:32 | 泳少 ( 普通白帽子 | Rank:231 漏洞数:79 | ★ 梦想这条路踏上了，跪着也要...)

    @孤独雪狼 目测是新的。。对吧？

  10. 2014-07-01 17:33 | 孤独雪狼 ( 普通白帽子 | Rank:710 漏洞数:145 | 七夕手机被偷，这坑爹的七夕啊 。。。。)

    @泳少 不算新的 还是原来的洞 只不过他们说修复了 结果还没修复

  11. 2014-07-01 17:34 | 泳少 ( 普通白帽子 | Rank:231 漏洞数:79 | ★ 梦想这条路踏上了，跪着也要...)

    @孤独雪狼 给点时间别人吧。。。- -貌似我之前提交有个洞别的地方的。。现在不也是没修复么

  12. 2014-07-01 17:36 | 孤独雪狼 ( 普通白帽子 | Rank:710 漏洞数:145 | 七夕手机被偷，这坑爹的七夕啊 。。。。)

    @泳少 5月份提交了 提交了三个 修复了两个

  13. 2014-07-01 18:00 | 小川 认证白帽子 ( 核心白帽子 | Rank:1344 漏洞数:216 | 一个致力要将乌云变成搞笑论坛的男人)

    我审核的，不知是我当时是瞎了我的狗眼，看见修复了，还是运维不知何时又把服务器打开了

  14. 2014-07-01 20:48 | 冷静 ( 路人 | Rank:3 漏洞数:2 )

    @小川 你就是新管理吗~

  15. 2014-07-01 22:23 | Jumbo ( 普通白帽子 | Rank:111 漏洞数:29 | 猫 - http://www.chinabaiker.com)

    @小川 惊现新审核

  16. 2014-07-01 22:46 | 小川 认证白帽子 ( 核心白帽子 | Rank:1344 漏洞数:216 | 一个致力要将乌云变成搞笑论坛的男人)

    @Jumbo @冷静 - -!我想你们是不是误会什么了

  17. 2014-07-02 10:57 | roker ( 普通白帽子 | Rank:357 漏洞数:108 )

    @小川 惊现新审核