Thông báo bảo mật MongoDB

Thông báo bảo mật MongoDB

• MongoDB đang gặp sự cố với đăng nhập vào Atlas và cổng hỗ trợ do số lượng nỗ lực đăng nhập tăng cao. Việc này không liên quan đến sự cố bảo mật; nếu gặp khó khăn khi đăng nhập, người dùng được khuyến nghị thử lại sau vài phút.
• MongoDB đang điều tra một sự cố bảo mật bao gồm truy cập trái phép vào một số hệ thống nội bộ của công ty. Do đó, metadata tài khoản khách hàng và thông tin liên hệ đã bị lộ. Vào tối thứ Tư, công ty phát hiện hoạt động đáng ngờ và ngay lập tức kích hoạt quy trình ứng phó sự cố. Cho đến nay chưa ghi nhận việc lộ dữ liệu khách hàng được lưu trên MongoDB Atlas, nhưng khách hàng được khuyến nghị cảnh giác với các cuộc tấn công social engineering và phishing, bật xác thực đa yếu tố (MFA) chống phishing, và thay đổi mật khẩu MongoDB Atlas định kỳ.

Liên quan đến tính toàn vẹn dữ liệu

• Do sự cố chèn dữ liệu vào các collection time series được sharding, các document được chèn có thể ngay lập tức rơi vào trạng thái orphan, không được truy vấn trả về và có thể gây mất dữ liệu.
• Do điều kiện race condition trong mongosync 1.5, một số thao tác ghi từ nguồn có thể không được sao chép sang đích. Khuyến nghị nâng cấp lên 1.6 trở lên.
• Do vấn đề của storage engine, các bản sao lưu gia tăng trong Ops Manager và Cloud Manager có thể trở nên không nhất quán, và các cluster được khôi phục từ những bản sao lưu gia tăng bị ảnh hưởng có thể bị crash do lỗi checksum.

Liên quan đến vận hành

• Do việc cache kết quả dbhash, có thể xảy ra không nhất quán giữa các config server trong cluster sharding.

Liên quan đến bảo mật

• Thông tin nhạy cảm có thể bị ghi log trong chế độ debug của Atlas Operator.
• Một số MongoDB driver có thể phát các event tới command listener do ứng dụng cấu hình, bao gồm cả dữ liệu liên quan đến xác thực.
• Nếu MongoDB server chạy trên Windows hoặc macOS được cấu hình sử dụng TLS, có thể phát sinh vấn đề xác thực chứng chỉ.

Ý kiến của GN⁺:

• Điều quan trọng nhất trong bài viết này là MongoDB đang tích cực điều tra sự cố bảo mật gần đây và khuyến nghị khách hàng thực hiện các biện pháp bảo mật.
• Nhiều vấn đề liên quan đến tính toàn vẹn dữ liệu đang tiếp tục được phát hiện, vì vậy người dùng MongoDB cần theo dõi chặt chẽ các vấn đề này.
• Vì sự cố bảo mật có thể gây ảnh hưởng nghiêm trọng đến cả doanh nghiệp lẫn người dùng cá nhân, bài viết này cung cấp thông tin đặc biệt đáng quan tâm và quan trọng đối với người dùng MongoDB.

[GN⁺]

Ý kiến trên Hacker News

• Đã xảy ra tình trạng hoàn toàn không thể truy cập tài khoản Atlas và cổng hỗ trợ. Mọi попытка xác thực Mongo qua Okta đều thất bại, và thông báo "The request contained invalid data." xuất hiện trên màn hình đăng nhập. Việc sử dụng cổng hỗ trợ cũng yêu cầu xác thực, nên rất khó nhận được trợ giúp cho sự cố xác thực thất bại. Họ tự hỏi liệu những người dùng khác cũng đang gặp vấn đề khi truy cập dashboard hay không. Sau đó việc xác thực bắt đầu hoạt động trở lại và có thể truy cập dashboard.

• Trường hợp này cho thấy rõ rằng ở giai đoạn điều tra ban đầu, thông tin có thể bị hạn chế, đồng thời thông báo rằng sẽ có thêm thông tin sau. Cách tiếp cận này được đánh giá tích cực.

• Nhấn mạnh rằng dù khách hàng Atlas không bị ảnh hưởng, họ vẫn có thể tự nhiên cảm thấy lo ngại sau một thông báo lớn như vậy về website hoặc các kênh hỗ trợ. Do thay đổi giấy phép SSPL nên lựa chọn bị hạn chế, nhưng một nhà cung cấp MongoDB DBaaS độc lập sẽ mang lại khả năng dự phòng thực sự. Hy vọng FerretDB sẽ xây dựng thành công một phương án thay thế khả thi.

• Bày tỏ thắc mắc liệu có thiếu bối cảnh về việc thay đổi mật khẩu MongoDB Atlas định kỳ có phải là khuyến nghị của các đội bảo mật hiện đại hay không.

• Đã nhận được email cảnh báo từ MongoDB về sự cố bảo mật. Đã có truy cập trái phép vào một số hệ thống doanh nghiệp của MongoDB, làm lộ metadata tài khoản khách hàng và thông tin liên hệ. Hiện chưa ghi nhận việc lộ dữ liệu khách hàng được lưu trong MongoDB Atlas. Họ phát hiện hoạt động đáng ngờ vào tối thứ Tư và lập tức kích hoạt quy trình ứng phó sự cố. Họ tin rằng truy cập trái phép đã diễn ra trong một khoảng thời gian trước khi bị phát hiện. Họ đã bắt đầu thông báo cho các cơ quan liên quan. Khách hàng được khuyến nghị cảnh giác với các cuộc tấn công social engineering và phishing, bật xác thực đa yếu tố (MFA) chống phishing nếu có thể, và thay đổi mật khẩu định kỳ. MongoDB cho biết sẽ tiếp tục cập nhật thêm thông tin tại mongodb.com/alerts khi quá trình điều tra tiến triển.

• Đùa rằng: "Dữ liệu vẫn an toàn. Vì chúng tôi đã không ghi dữ liệu xuống đĩa."

• Một người chưa từng dùng MongoDB thắc mắc vì sao người khác lại ưu tiên MongoDB hơn các cơ sở dữ liệu khác.

• Thành thật tò mò vì sao ngày nay mọi người vẫn chọn Mongo thay vì Postgres, dù bản thân không phản đối dữ liệu json.

• Đặt câu hỏi liệu MongoDB hiện có đang làm tốt hay không, và liệu sự hào hứng dành cho nó có phần nào nguội đi rồi không.