🇰🇷 한글 설명
MongoDB libmongocrypt의 부적절한 상태 관리로 인해 중복된 masterKey 필드를 포함한 키 문서를 정리할 때 데이터 타입 불일치가 발생할 수 있습니다. 인증된 공격자가 키 볼트 문서를 수정하거나 서버가 잘못된 문서를 반환할 경우, 클라이언트 프로세스에서 잘못된 메모리 접근 및 해제가 발생하여 애플리케이션이 종료되거나 메모리가 손상될 수 있습니다.
💡 쉬운 설명
데이터를 정리하는 과정에서 컴퓨터 메모리를 잘못 다루는 오류가 발견되었습니다. 공격자가 특수하게 조작된 데이터를 보내면 프로그램이 갑자기 꺼지거나 시스템 내부 데이터가 망가질 수 있습니다.
🇺🇸 원문 (English)
Improper state management in MongoDB libmongocrypt can cause provider-specific data to be treated as an incompatible type when cleaning up a key document containing duplicate masterKey fields. An authenticated actor who can modify key vault documents, or a server that returns such a key document, can cause invalid memory access and invalid frees in the client process. This can terminate the application or corrupt process memory.
📍 영향받는 시스템
MongoDB libmongocrypt 라이브러리 (중복 masterKey 필드를 처리하는 버전)
⚔️ 공격 벡터
인증된 공격자가 키 볼트 문서를 수정하거나 조작된 키 문서를 반환하는 서버를 통해 공격
🛡️ 대응 방법
libmongocrypt 라이브러리를 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
설치된 libmongocrypt 패키지의 존재 여부와 버전을 확인하여 보안 패치 적용 여부를 검토합니다.
dpkg -l | grep libmongocrypt || rpm -qa | grep libmongocrypt
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server