🇰🇷 한글 설명
MongoDB Server의 $mergeCursors 단계 처리 미흡으로 인해 권한이 없는 사용자가 특수하게 제작된 집계 파이프라인을 사용하여 데이터에 접근할 수 있는 취약점입니다. 이로 인해 적절한 권한 검증 없이 데이터가 노출될 위험이 있습니다.
💡 쉬운 설명
데이터베이스에서 데이터를 모으는 과정 중 보안 검사가 제대로 이루어지지 않는 허점이 발견되었습니다. 이를 악용하면 허가받지 않은 사용자가 몰래 중요한 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
An unauthorized user may leverage a specially crafted aggregation pipeline to access data without proper authorization due to improper handling of the $mergeCursors stage in MongoDB Server. This may lead to access to data without further authorisation. This issue affects MongoDB Server MongoDB Server v8.0 versions prior to 8.0.7, MongoDB Server v7.0 versions prior to 7.0.19 and MongoDB Server v6.0 versions prior to 6.0.22
📍 영향받는 시스템
MongoDB Server v8.0 < 8.0.7, v7.0 < 7.0.19, v6.0 < 6.0.22
⚔️ 공격 벡터
특수하게 조작된 MongoDB 집계 파이프라인($mergeCursors 단계 활용)을 통한 데이터 접근
🛡️ 대응 방법
MongoDB Server를 최신 보안 패치 버전(8.0.7, 7.0.19, 6.0.22 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약점이 해결된 버전(8.0.7, 7.0.19, 6.0.22 이상)인지 확인하십시오.
mongod --version | grep -E 'version'