Esta base de datos es una alternativa a SQL y MySQL y cada vez más utilizada en la actualidad junto a MariaDB. Sin embargo, expertos en seguridad han detectado un fallo de seguridad en MongoDB que puede poner en riesgo a la máquina que este ejecutándola, provocando que esta falle y se reinicie de forma inesperada y sin previo aviso.
Detalle de la vulnerabilidad
- Según se ha podido saber el fallo se encuentra en la librería PCRE que contiene un grupo importante de expresiones regulares utilizadas por la aplicación, sobre todo la transformación del código recibido a PERL. Todo parece indicar que este módulo que hemos mencionado se encuentra desactualizado, es decir, la base de datos ejecuta una versión que se liberó en marzo pero del año 2012, por lo tanto, no sería de extrañar que a esta vulnerabilidad la acompañasen más.
- El fallo de seguridad se ha catalogado como CVE-2014-8964 y permite que la máquina que ejecuta la base de datos sea vulnerable a sufrir ataques de denegación de servicio que provoquen no solo la no disponibilidad del servicio sino el colapso de los recursos del servidor y su posterior reinicio.
- Según han destacado algunos responsables del software, para realizar de forma satisfactoria el ataque se tiene que estar logueado en la base de datos. Sin embargo, hay que recordar que por defecto el acceso a esta se puede realizar sin ningún tipo de credenciales.
- En contraste con lo mencionado por los responsables del software, expertos en seguridad han aclarado que para llevar a cabo la explotación de la vulnerabilidad no es necesario estar logueado en el sistema como administrador ni disponer de permisos especiales de ejecución, siendo necesaria solo una cuenta autorizada con unos mínimos privilegios para llevar a cabo el ataque DDoS.
- Para solucionar el problema, los responsables de la base de datos han liberado dos nuevas versiones con una versión actualizada de PCRE, la librería afectada por el fallo. De esta forma se busca solucionar la vulnerabilidad y evitar de esta forma que los servidores que ejecuten la base de datos colapsen y sean víctimas del ataque.
- Para observar la importancia de la vulnerabilidad, solo es necesario observar que eBay o Foursquare son solo algunos de los servicios que ejecutan esta base de datos.
