Mongo-express远程代码执行漏洞CVE-2019-10758

MongoDB 是一种面向文档的、介于关系型数据库和非关系型数据库的系统 。 Mongo-express组件存在默认口令，此漏洞利用的前提是通过Mongo-express组件默认口令获得管理权限。 成功利用漏洞的攻击者可以在目标服务器上执行任意命令。

MongoDB 是一种面向文档的、介于关系型数据库和非关系型数据库的系统，Mongo-Express 则是一款图形化的 MongoDB web 客户端管理工具，使用 Node.js、Express 和 Bootstrap3 编写。

Mongo-express组件存在默认口令，此漏洞利用的前提是通过Mongo-express组件默认口令获得管理权限。使用toBSON方法的端点通过发送精心构造的恶意数据，在非安全环境中滥用vm依赖关系来执行exec命令，实现远程代码攻击。成功利用漏洞的攻击者可以在目标服务器上执行任意命令。

搭建 M ongo-express 0.53.0版本环境，传入精心构造的数据，在目标服务器上执行任意命令，效果如下，成功在目标服务器创建新文件。

目前受影响的 M ongo-express版本：

M ongo-express版本0.54.0及更低版本

1.升级 M ongo-express到0.54.0或更高版本。

下载链接：https://github.com/mongo-express/mongo-express

【 深信服下一代防火墙 】可轻松防御此漏洞， 建议部署深信服下一代防火墙的用户更新至最新的安全防护规则，可轻松抵御此高危风险。

【 深信服云盾 】已第一时间从云端自动更新防护规则，云盾用户无需操作，即可轻松、快速防御此高危风险。

【 深信服安全感知平台 】可检测利用该漏洞的攻击，实时告警，并可联动【深信服下一代防火墙等产品】实现对攻击者ip的封堵。

【 深信服安全运营服务 】深信服云端安全专家提供7*24小时持续的安全运营服务。在漏洞爆发之初，云端安全专家即对客户的网络环境进行漏洞扫描，保障第一时间检查客户的主机是否存在此漏洞。对存在漏洞的用户，检查并更新了客户防护设备的策略，确保客户防护设备可以防御此漏洞风险。

【 深信服安全云眼 】在漏洞爆发之初，已完成检测更新，对所有用户网站探测，保障用户安全。不清楚自身业务是否存在漏洞的用户，可注册信服云眼账号，获取30天免费安全体验。

注册地址：http://saas.sangfor.com.cn

【 深信服云镜 】在漏洞爆发第一时间即完成检测能力的发布，部署了云镜的用户可以通过升级来快速检测网络中是否受该高危风险影响，避免被攻击者利用。离线使用云镜的用户需要下载离线更新包来获得漏洞检测能力，可以连接云端升级的用户可自动获得漏洞检测能力。