🇰🇷 한글 설명
MongoDB Ops Manager 4.2.24 이하 버전에서 4.4.12 이하 버전으로 업그레이드할 때 발생하는 버그입니다. SSL이 활성화된 환경에서 자동화 프로세스가 SSL이 꺼진 것으로 오인하여 클러스터 멤버의 SSL을 일시적으로 비활성화할 수 있습니다.
💡 쉬운 설명
데이터를 암호화해서 주고받는 보안 기능(SSL)이 업데이트 과정에서 실수로 잠시 꺼질 수 있는 문제입니다. 이로 인해 데이터 전송 시 보안이 취약해질 수 있습니다.
🇺🇸 원문 (English)
For MongoDB Ops Manager versions prior to and including 4.2.24 with multiple OM application servers, that have SSL turned on for their MongoDB processes, the upgrade to MongoDB Ops Manager versions prior to and including 4.4.12 triggers a bug where Automation thinks SSL is being turned off, and can disable SSL temporarily for members of the cluster. This issue is temporary and eventually corrects itself after MongoDB Ops Manager instances have finished upgrading to MongoDB Ops Manager 4.4. In addition, customers must be running with clientCertificateMode=OPTIONAL / allowConnectionsWithoutCertificates=true to be impacted*.* Customers upgrading from Ops Manager 4.2.X to 4.2.24 and finally to Ops Manager 4.4.13+ are unaffected by this issue.
📍 영향받는 시스템
MongoDB Ops Manager 4.2.24 이하 버전 (clientCertificateMode=OPTIONAL 설정 시)
⚔️ 공격 벡터
업그레이드 과정 중 발생하는 자동화 오류를 이용한 중간자 공격(MitM) 가능성
🛡️ 대응 방법
MongoDB Ops Manager를 4.4.13 이상의 버전으로 업그레이드하여 문제를 해결하십시오.
🔧 검증 코드
출력된 버전이 4.2.24 이하이거나 4.4.12 이하인 경우 해당 취약점에 노출될 수 있습니다.
mongo-ops-manager --version 2>/dev/null | grep -E '4.2\.[0-9]+|4.4\.[0-9]+'
📊 CVSS Vector String
CVSS:3.1/AV:A/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server