Chris Vickery は、コンピューター検索エンジン Shodan でオープン データベースを検索し、オンラインでこのデータベースを発見しました。 まず、彼は MongoDB データベースにアクセスするための 4 つの IP アドレスを発見し、最終的には MacKeeper データの特徴を発見しました。 ユーザーの IP アドレス、ソフトウェア ライセンス、アクティベーション コード、およびハッシュ化されたパスワード、名前、番号、電子メール アドレス。
おすすめ動画
それは 実際には非常に一般的な 開いている MongoDB データベースをオンラインで検索します。 ただし、MacKeeper データベースがどれくらいの期間開いたままになっていたかは不明のままです。 によると ブライアン・クレブス, MacKeeper氏は、サーバーの設定ミスのため、データベースが約1週間開いたままになっていたと述べたが、Vickery氏は、発見したデータベースの最後の日付は11月中旬頃だったと指摘している。
最も印象的なのは、データベース内のパスワードがハッシュ アルゴリズム MD5 でのみ保護されていることです。 過去に非難された 独自の作成者によって標準以下であり、もはや安全ではありません。 さえあります MD5クラッキングツール オンラインで入手可能で、見つけるのは難しくありません。 マックキーパーは言いました フォーブス 現在、SHA512 ハッシュ アルゴリズムに更新中です。
Vickery 氏は、MacKeeper の背後にある企業である Kromtech に連絡して欠陥について警告することができなかったと主張しています。 Redditにアップされました 会社の注目を集めるために彼の発見を公表するためです。
クロムテックはその後対応した ヴィッカリーに報告し、暴露してくれたことに感謝した。 同社は、この脆弱性は現在修正されており、内部レビューを実施すると述べた。
「私たちはこのエラーを発見してから数時間以内に修正しました。 当社のデータ ストレージ システムを分析したところ、アクセスを取得したのは 1 名だけでした…セキュリティ研究者自身です」とクロムテック氏は述べています。 「私たちはクリスと連絡を取り合っており、彼はデータを共有したり、不適切に使用したりしていません。」
したがって、この顧客データの漏洩の可能性を認識していたのは Vickery だけであり、悪意のある攻撃者がデータベースにアクセスすることはなかったと考えられます。
ライフスタイルをアップグレードするDigital Trends は、読者が最新ニュース、楽しい製品レビュー、洞察力に富んだ社説、ユニークなスニーク ピークをすべて提供して、ペースの速いテクノロジーの世界を監視するのに役立ちます。
