🇰🇷 한글 설명
Microsoft Windows 환경에서 권한이 없는 사용자가 특정 위치에 OpenSSL 설정 파일을 생성할 수 있을 경우, MongoDB 서버와 함께 제공되는 유틸리티 프로그램이 공격자가 정의한 코드를 실행하게 될 수 있습니다. 이 취약점은 MongoDB Server v4.0(4.0.11 미만), v3.6(3.6.14 미만), v3.4(3.4.22 미만) 버전에서 발생합니다.
💡 쉬운 설명
해커가 컴퓨터에 몰래 설정 파일을 심어두면, MongoDB 관련 프로그램을 실행할 때 해커가 원하는 악성 코드가 자동으로 실행될 수 있는 문제입니다. 이를 통해 해커가 사용자의 권한을 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
An unprivileged user or program on Microsoft Windows which can create OpenSSL configuration files in a fixed location may cause utility programs shipped with MongoDB server to run attacker defined code as the user running the utility. This issue MongoDB Server v4.0 versions prior to 4.0.11; MongoDB Server v3.6 versions prior to 3.6.14 and MongoDB Server v3.4 prior to 3.4.22.
📍 영향받는 시스템
MongoDB Server v4.0 < 4.0.11, v3.6 < 3.6.14, v3.4 < 3.4.22 (Windows 환경)
⚔️ 공격 벡터
로컬 권한을 가진 사용자가 고정된 위치에 조작된 OpenSSL 설정 파일을 생성하여 유틸리티 실행 시 코드 실행 유도
🛡️ 대응 방법
취약점이 해결된 최신 버전(v4.0.11, v3.6.14, v3.4.22 이상)으로 업데이트
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위(예: 4.0.10 이하)에 해당하면 보안 업데이트가 필요합니다.
mongod --version | grep -E 'MongoDB Server v(4.0\.[0-9]{2}|3.6\.[0-9]{2}|3.4\.[0-9]{2})'