ZoomEye araştırması, üretim veritabanlarının önünde duran 703 açık NocoDB örneği buldu

Araştırma ne buldu

dev.to'da yayınlanan bir yazı, açık servisleri indeksleyen bir arama motoru olan ZoomEye üzerinden yürütülen, internetten erişilebilen NocoDB kurulumlarının sayımını anlatıyor. Yazıya göre, uygulamaya ait bir fingerprint sorgusu 29 Eylül 2026 saat 02:48 UTC'de çalıştırıldığında 703 eşleşme döndürdü.

NocoDB, mevcut bir veritabanının üzerine tablo benzeri bir görünüm ekleyen açık kaynaklı bir proje; bu da onu, özel bir uygulama geliştirmeden yapılandırılmış veriye ihtiyaç duyan ekipler için cazip kılıyor. Güvenlik açısından erişilebilir örneklerin sayısını ilginç kılan da aynı özellik: araya hiçbir uygulama mantığı girmeden canlı verilere doğrudan erişim.

Arayüzün kendisi neden risk

Yazıya göre araç, canlı bir veritabanına bağlanıyor ve tablolarını hem web arayüzü hem de API üzerinden sunuyor. Arayüze ulaşan bir kişi genellikle alttaki satırları okuyup düzenleyebiliyor ve yerleşik dışa aktarma işlevleri tüm bir tabloyu indirilebilir bir dosya olarak üretebiliyor.

Yazar, açığa çıkmanın büyük bölümünden iki ayarın sorumlu olduğunu belirtiyor. İlki açık bırakılan bir kayıt seçeneği; bu, herhangi bir ziyareticinin hesap açmasına izin veriyor. İkincisi ise iş birliğini kolaylaştırmak için oluşturulup sonra unutulan bir paylaşım bağlantısı ya da genel görünüm.

Ayrıca bir kalıtım sorunu var. Görünüm bir üretim veritabanından beslendiği için, verinin hassasiyeti kaynak sisteme olduğu kadar bu görünüme de aynen yansıyor. Kullanıcı kayıtları veya faturalama bilgilerinden oluşan bir tablo, biri onu电子 tablo olarak geziyor diye daha az hassas hale gelmiyor.

Sayı size ne söylüyor, ne söylemiyor

703 rakamı fingerprint eşleşmelerini sayıyor, doğrulanmış ihlalleri değil. Yazıda belirtildiği gibi örneklerden bazıları bilerek erişilebilir durumda; diğerleri ise sunucuları hiç kapatılmamış, bitmiş projelerin kalıntıları. Araştırma, bilinçli bir genel dağıtımı terk edilmiş olandan ayırt edemiyor; bu yüzden bu sayıyı olay listesi olarak değil, sorunun üst sınırı olarak okumak daha doğru.

Operatörler neleri kontrol etmeli

Yazı, kısa bir sağlamlaştırma kontrol listesiyle bitiyor:

• Örnek gerçekten dış kullanıcıları hizmete almak için tasarlanmadıysa genel kaydı kapatın.
• Her paylaşılmış görünümü denetleyin ve artık gerekmeyenleri iptal edin.
• Platformu veritabanına, veritabanı sahibi kimlik bilgisi yerine, uygulamanın gerçekte kullandığı izinlere sahip kısıtlı bir hesapla bağlayın.
• Etkinlik günlüklerini açın ve dışa aktarmalara dikkat edin; çünkü büyük indirmeler genellikle biri sorunu bildirmeden önce gerçekleşiyor.

Neden önemli

Haber, dağıtım güvenliğinde tekrar eden bir örüntüyü gözler önüne seriyor: güçlü bir arka ucun önüne dostane bir arayüz koyan araçlar, arka ucun erişim kontrollerini değil ama hassasiyetini devralıyor. Buradaki olası hata modu NocoDB'nin kendisindeki bir kusur değil; açık bir kayıt sayfası ya da bayatlamış bir paylaşım bağlantısı gibi bir yanlış yapılandırma ki bu, üretim veri setini bir yabancının toptan gezip dışa aktarabileceği bir şeye dönüştürüyor.

Kendi sunucularında barındırdıkları veri araçlarını çalıştıran her ekip için bu kontrol listesi tek bir ürünün ötesinde genellenebilir: en az ayrıcalıklı veritabanı kimlik bilgileri, varsayılan olarak kapalı self-servis kayıt ve herkese açık şeylerin periyodik olarak gözden geçirilmesi. Genel bir arama motorunda tek bir fingerprint sorgusu, bir dış kişinin asla bulunması amaçlanmamış bir örneği bulması için yeterli; 703 eşleşme de bunun yüzlerce kurulumda çoktan yaşanmakta olduğunu gösteriyor.