如果您曾使用過應用程式或網站，很有可能是建立它的人使用並整合了多種工具，使其能順利運作。其中兩個工具是MongoDB(一種流行的資料庫開發系統) 和Mongoose(一種常用的第三方函式庫，可協助外部應用程式與 MongoDB「對話」)。但是，當駭客找到方法透過這些工具潛入時，會發生什麼事呢？
探索OPSWAT 網路安全研究員計畫研究員如何發現漏洞，並與 Mongoose 的開發人員密切合作，迅速修復漏洞，不僅一次，而是兩次。
問題何在？
威脅份子不斷尋找利用軟體編碼缺陷或「Bug」的方法。某些版本的 Mongoose 有一些 bug，可以讓駭客有辦法入侵應用程式。這些 bug 可以讓他們
- 在資料庫內嵌入危險程式碼。
- 竊取或損毀儲存於 MongoDB 的資料。
進行威脅獵捕（Threat Hunting）可以幹嘛？
許多企業使用 Mongoose 和 MongoDB 建立應用程式。如果駭客入侵，可能會造成嚴重的功能問題，更糟的是，還會讓重要資料面臨被盜用、竄改或破壞的風險。
你需要知道的兩大弱點
1.CVE-2024-53900
這個錯誤的發生是因為 Mongoose 的 $where 查詢運算符處理不當。因此，駭客可以繞過 MongoDB 的伺服器端 JavaScript 限制，並可能在 Node.js 應用程式伺服器上實現遠端程式碼執行 (RCE)。駭客可以誘騙系統執行惡意程式碼，也就是說，他們可以接管網路應用程式伺服器，並執行未經授權的動作，例如修改或竊取資料。
2.CVE-2025-23061
這個較舊的錯誤在最初的修復中並沒有完全解決，這也是它繼續成為問題的原因。駭客可以使用不同的方法繞過修復，但仍會入侵網頁應用程式伺服器，讓他們可以竊取資料或控制應用程式。
開發人員該怎麼做？
步驟 1：立即更新 Mongoose
Mongoose 已承諾在最新版本的軟體中修正這兩個錯誤。如果您正在使用 Mongoose，請立即更新至最新版本。
步驟 2：稽核您的工具
開發人員應該掃描他們的 Software Bill of Materials (SBOM)-所有工具和程式碼的清單，以確保沒有其他錯誤。
SBOM 提供軟體內元件與依賴關係的透明度，可確保任何弱點都能被找出並加以處理。在現代開發環境中，使用多種軟體工具和第三方函式庫會帶來顯著的複雜性，使得維持軟體開發生命週期 (SDLC) 變得困難。如果不持續監控 SBOM，組織就有可能忽略過時或易受攻擊的元件，導致應用程式暴露於攻擊之下，資料也面臨風險。主動的 SBOM 掃描有助於簡化弱點管理，確保安全性仍然是 SDLC 不可或缺的一部分。
步驟 3：保護您的資料
駭客可能會利用這些錯誤來篡改您的資料。儘管您儲存資料時是安全的，但這並不保證資料不會被後期篡改。掃描您的資料庫是否有變更或漏洞，有助於確保資料安全。沙箱和檔案掃描等工具，是捕捉任何可疑情況的好方法。
OPSWAT的Deep CDR™、MetaScan™Multiscanning 及Sandbox 技術為靜態資料提供多層掃描功能，包括 MongoDB 等敏感資料庫。Deep CDR 透過將檔案重建為安全、乾淨的版本來消毒檔案，而 MetaScanMultiscanning 則利用 30 多個防毒引擎來偵測已知和未知的威脅。MetaDefender Sandbox 可在受控環境中分析潛在的惡意行為，從而增加額外的安全層級。
掃描 MongoDB 非常重要，因為資料庫通常會儲存大量敏感資訊，而漏洞可能會成為攻擊者利用的切入點，危及資料完整性與安全性。結合這些技術，可確保針對隱藏的威脅提供全面的保護。
為什麼會這樣？
建立應用程式就像使用樂高積木一樣，您需要使用許多小塊積木來製作大型物件。但是，哪怕只有一塊磚頭壞了，整個東西都可能崩塌。這就是當開發人員使用 Mongoose 或 MongoDB 等工具，卻不檢查更新或修正時所發生的事情。這並不是他們的錯，但卻讓我們了解到保持工具更新的重要性。
我們能提供什麼協助？
OPSWAT 專精於識別類似惡意軟體和錯誤的技術與解決方案，協助企業保持安全。如果您是開發人員，我們可以協助您掃描應用程式和資料以偵測風險，讓您的工具保持最新狀態，並保護您的資訊免於駭客入侵。
重大貢獻
Mongoose 等軟體中的 Bug 聽起來似乎是個小問題，但如果駭客先發現並運用這些 Bug，就可能產生漣漪效應。 開發人員需要專注於四個關鍵項目，才能保持領先：
- 了解其軟體建置中使用的所有工具和函式庫。
- 不斷更新這些工具。
- 檢查其應用程式的軟體元件是否存在風險。
- 掃描他們的資料，找出任何異常或惡意的資料。
如果您是開發人員或企業主，現在是確保您的應用程式和資料受到保護的時候了。
無論是 SBOM 或 MetaDefender 中的多層威脅偵測與預防功能，您都能輕鬆應對。 MetaDefender Core我們的專家已準備好向您展示為什麼OPSWAT 在保護一些最重要的環境免受威脅方面受到全球的信賴。
想要瞭解OPSWAT 如何保護您的環境免受新興威脅的威脅？
