Für die Open-Source-Datenbank-Software MongoDB der Firma 10gen ist ein Exploit veröffentlicht worden, der von dem Entdecker der Lücke (mit dem Namen "Angelo2" beziehungsweise "Agixid") bald um ein Metasploit-Modul ergänzt werden soll. Der Exploit betrifft momentan 32-Bit-Systeme mit der Version 2.2.3. Das ist ein zwar schon etwas älterer, aber noch häufig eingesetzer Release-Zweig. Aktuell ist der 2.4er-Zweig.
Bereits in Version 2.4.0 hatten die Entwickler die für die Lücke verantwortliche JavaScript-Engine Spidermonkey mit Link ist nicht mehr aktiv. ausgetauscht, was den aktuellen Exploit unmöglich macht. Die neueste Version ist 2.4.1. Wer also von 2.2.3 wechseln möchte, sollte diese Version anvisieren.
Wie der Hacker schreibt, wurde die Schwachstelle in 2.2.3 schon vor drei Wochen an die 10gen-Entwickler gemeldet; diese reagierten bisher aber nicht direkt auf die Schwachstelle. Der Exploit von Angelo2 nutzt die default JavaScript-Engine Spidermonkey aus, um Schadcode über die NativeHelper-Funktion einzuschleusen und so einen serverseitigen Buffer-Overflow zu erzeugen. Durch die Native-Funktion wird ein JavaScript-Objekt ohne Prüfung abgerufen.
Neben der Ankündigung eines Metasploit-Moduls hat der Hacker Hinweise darauf gegeben, dass sobald wie möglich auch ein Exploit für 64bit-Systeme entwickelt werden soll.
heise.de
Bereits in Version 2.4.0 hatten die Entwickler die für die Lücke verantwortliche JavaScript-Engine Spidermonkey mit Link ist nicht mehr aktiv. ausgetauscht, was den aktuellen Exploit unmöglich macht. Die neueste Version ist 2.4.1. Wer also von 2.2.3 wechseln möchte, sollte diese Version anvisieren.
Wie der Hacker schreibt, wurde die Schwachstelle in 2.2.3 schon vor drei Wochen an die 10gen-Entwickler gemeldet; diese reagierten bisher aber nicht direkt auf die Schwachstelle. Der Exploit von Angelo2 nutzt die default JavaScript-Engine Spidermonkey aus, um Schadcode über die NativeHelper-Funktion einzuschleusen und so einen serverseitigen Buffer-Overflow zu erzeugen. Durch die Native-Funktion wird ein JavaScript-Objekt ohne Prüfung abgerufen.
Neben der Ankündigung eines Metasploit-Moduls hat der Hacker Hinweise darauf gegeben, dass sobald wie möglich auch ein Exploit für 64bit-Systeme entwickelt werden soll.
heise.de
