🇰🇷 한글 설명
일부 MongoDB 드라이버에서 인증 관련 데이터가 포함된 이벤트가 애플리케이션에 설정된 커맨드 리스너로 잘못 게시될 수 있는 취약점입니다. 특정 인증 명령이 실행될 때 보안에 민감한 데이터가 포함될 수 있으며, 애플리케이션이 이를 로그 파일 등에 기록할 경우 정보가 노출될 위험이 있습니다.
💡 쉬운 설명
데이터베이스에 로그인할 때 사용하는 중요한 비밀 정보가 실수로 기록(로그)에 남을 수 있는 문제입니다. 개발자가 별도의 모니터링 기능을 켜두었을 때 발생할 수 있는 보안 사고입니다.
🇺🇸 원문 (English)
Some MongoDB Drivers may erroneously publish events containing authentication-related data to a command listener configured by an application. The published events may contain security-sensitive data when specific authentication-related commands are executed.
Without due care, an application may inadvertently expose this sensitive information, e.g., by writing it to a log file. This issue only arises if an application enables the command listener feature (this is not enabled by default).
This issue affects the MongoDB C Driver 1.0.0 prior to 1.17.7, MongoDB PHP Driver 1.0.0 prior to 1.9.2, MongoDB Swift Driver 1.0.0 prior to 1.1.1, MongoDB Node.js Driver 3.6 prior to 3.6.10, MongoDB Node.js Driver 4.0 prior to 4.17.0 and MongoDB Node.js Driver 5.0 prior to 5.8.0. This issue also affects users of the MongoDB C++ Driver dependent on the C driver 1.0.0 prior to 1.17.7 (C++ driver prior to 3.7.0).
📍 영향받는 시스템
MongoDB C Driver < 1.17.7, PHP Driver < 1.9.2, Swift Driver < 1.1.1, Node.js Driver < 3.6.10, 4.17.0, 5.8.0, C++ Driver < 3.7.0
⚔️ 공격 벡터
애플리케이션이 커맨드 리스너 기능을 활성화하고 민감한 정보를 로그로 남길 경우 정보 유출 발생
🛡️ 대응 방법
영향을 받는 드라이버를 명시된 보안 패치 버전 이상으로 업데이트하십시오.
🔧 검증 코드
설치된 MongoDB 드라이버의 버전을 확인하여 취약한 버전 범위에 해당하는지 대조하십시오.
pip show pymongo || npm list mongodb || php -m | grep mongodb