🇰🇷 한글 설명
MongoDB의 libmongocrypt 라이브러리 내 명시적 복호화 구성 요소가 인식할 수 없는 암호화된 페이로드를 오류를 반환하는 대신 변경 없이 그대로 반환하는 취약점입니다. 데이터베이스 작성자, 서버 또는 네트워크 중개자와 같이 저장된 암호화 필드를 수정할 수 있는 공격자는 영향을 받는 애플리케이션이 공급된 바이트를 복호화된 평문으로 처리하도록 유도할 수 있습니다.
💡 쉬운 설명
암호화된 데이터를 풀 때 오류가 나야 하는데, 잘못된 데이터가 들어와도 그냥 그대로 통과시켜 버리는 문제입니다. 이로 인해 공격자가 가짜 데이터를 암호문인 척 속여서 시스템이 이를 진짜 데이터로 믿게 만들 수 있습니다.
🇺🇸 원문 (English)
The explicit decryption component of MongoDB libmongocrypt can return an unrecognized encrypted payload unchanged instead of returning a decryption error. An actor who can modify stored encrypted fields, such as a database writer, server, or network intermediary, can cause an affected application to process the supplied bytes as decrypted plaintext.
📍 영향받는 시스템
MongoDB libmongocrypt 라이브러리 (버전 미상)
⚔️ 공격 벡터
데이터베이스 저장 필드 또는 네트워크 전송 과정에서 암호화된 데이터를 변조하여 조작된 페이로드를 주입
🛡️ 대응 방법
libmongocrypt 라이브러리를 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력된 라이브러리 버전을 확인하여 보안 패치가 적용된 최신 버전인지 제조사 공지사항과 비교
pkg-config --modversion libmongocrypt 2>/dev/null || ldconfig -p | grep libmongocrypt
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server