🇰🇷 한글 설명
클라이언트 측 필드 수준 암호화(CSFLE)를 지원하는 특정 버전의 Java 드라이버가 KMS 서버 인증서의 호스트 이름 검증을 올바르게 수행하지 못하는 취약점입니다. 공격자가 중간자(MITM) 공격을 수행할 수 있는 네트워크 위치에 있을 경우, Java 드라이버와 KMS 서비스 간의 트래픽을 가로채 암호화 기능을 무력화할 수 있습니다.
💡 쉬운 설명
데이터를 암호화하는 열쇠를 관리하는 서버의 신원을 확인하는 과정에 허점이 있는 상태입니다. 해커가 중간에서 가짜 서버인 척 속여 데이터를 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
Specific versions of the Java driver that support client-side field level encryption (CSFLE) fail to perform correct host name verification on the KMS server’s certificate. This vulnerability in combination with a privileged network position active MITM attack could result in interception of traffic between the Java driver and the KMS service rendering Field Level Encryption ineffective. This issue was discovered during internal testing and affects all versions of the Java driver that support CSFLE. The Java async, Scala, and reactive streams drivers are not impacted. This vulnerability does not impact driver traffic payloads with CSFLE-supported key services originating from applications residing inside the AWS, GCP, and Azure network fabrics due to compensating controls in these environments. This issue does not impact driver workloads that don’t use Field Level Encryption.
📍 영향받는 시스템
CSFLE를 지원하는 모든 버전의 Java 드라이버 (Async, Scala, Reactive Streams 드라이버 제외)
⚔️ 공격 벡터
권한이 있는 네트워크 위치에서의 중간자(MITM) 공격을 통한 트래픽 가로채기
🛡️ 대응 방법
CSFLE를 지원하는 Java 드라이버를 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 사용 중인 MongoDB Java 드라이버의 버전을 확인하여 취약한 버전인지 대조하십시오.
mvn dependency:list | grep -E 'mongodb-driver-core|mongodb-driver-sync'