🇰🇷 한글 설명
MongoDB C++ 드라이버가 특정 필드 및 컬렉션 이름에 포함된 임베디드 NUL 바이트 이후의 내용을 무시하는 취약점이 발견되었습니다. 이로 인해 드라이버와 애플리케이션이 동일한 이름을 서로 다르게 해석할 수 있으며, 공격자가 이름을 조작할 경우 의도하지 않은 필드에서 값을 읽거나 컬렉션 이름을 변경할 수 있습니다.
💡 쉬운 설명
데이터 이름 중간에 특수 문자(NUL)를 넣어 프로그램이 이름의 뒷부분을 읽지 못하게 속이는 방식입니다. 이를 통해 공격자는 원래 접근하면 안 되는 데이터에 접근하거나 데이터 이름을 마음대로 바꿀 수 있습니다.
🇺🇸 원문 (English)
The MongoDB C++ Driver discards content after an embedded NUL byte in certain field and collection names accepted by the collection API. This can cause the driver and the calling application to interpret the same name differently. An authenticated actor who can influence a name passed by an affected application can cause the application to read distinct values from an unintended field or rename an unintended collection. These operations use the application's existing database credentials.
📍 영향받는 시스템
MongoDB C++ Driver (NUL 바이트 처리에 취약한 특정 버전)
⚔️ 공격 벡터
인증된 공격자가 애플리케이션에 전달되는 필드 또는 컬렉션 이름에 NUL 바이트를 삽입하여 조작
🛡️ 대응 방법
NUL 바이트 처리가 수정된 최신 버전의 MongoDB C++ Driver로 업데이트
🔧 검증 코드
출력된 드라이버 버전을 확인하여 보안 패치가 적용된 최신 버전인지 제조사 공지사항과 비교
pkg-config --modversion mongodb-cxx-driver 2>/dev/null || echo 'Not installed'