🇰🇷 한글 설명
MongoDB 서버가 TLS 핸드셰이크 과정에서 클라이언트 인증서의 확장 키 사용(EKU) 요구사항을 제대로 검증하지 못하는 취약점입니다. Windows 및 Apple 환경의 MongoDB 서버에서 클라이언트 인증서의 clientAuth 또는 서버 인증서의 serverAuth 속성이 누락되어도 인증이 허용될 수 있습니다.
💡 쉬운 설명
인증서에 적혀 있어야 할 '사용 용도'가 빠져 있어도 서버가 이를 무시하고 접속을 허용하는 보안 결함입니다. 이로 인해 권한이 없는 사용자가 서버에 접속하거나 잘못된 서버와 연결될 위험이 있습니다.
🇺🇸 원문 (English)
Clients may successfully perform a TLS handshake with a MongoDB server despite presenting a client certificate not aligning with the documented Extended Key Usage (EKU) requirements. A certificate that specifies extendedKeyUsage but is missing extendedKeyUsage = clientAuth may still be successfully authenticated via the TLS handshake as a client. This issue is specific to MongoDB servers running on Windows or Apple as the expected validation behavior functions correctly on Linux systems.
Additionally, MongoDB servers may successfully establish egress TLS connections with servers that present server certificates not aligning with the documented Extended Key Usage (EKU) requirements. A certificate that specifies extendedKeyUsage but is missing extendedKeyUsage = serverAuth may still be successfully authenticated via the TLS handshake as a server. This issue is specific to MongoDB servers running on Apple as the expected validation behavior functions correctly on both Linux and Windows systems.
This vulnerability affects MongoDB Server v7.0 versions prior to 7.0.26, MongoDB Server v8.0 versions prior to 8.0.16 and MongoDB Server v8.2 versions prior to 8.2.2
📍 영향받는 시스템
MongoDB Server v7.0 < 7.0.26, v8.0 < 8.0.16, v8.2 < 8.2.2
⚔️ 공격 벡터
EKU(clientAuth/serverAuth) 설정이 누락된 부적절한 인증서를 사용하여 TLS 연결을 시도함
🛡️ 대응 방법
MongoDB 서버를 보안 패치가 적용된 최신 버전(7.0.26, 8.0.16, 8.2.2 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위(7.0.26 미만, 8.0.16 미만, 8.2.2 미만)에 해당하면 취약한 상태입니다.
mongod --version | grep -E '7.0\[0-9.]*|8.0\[0-9.]*|8.2\[0-9.]*'