🇰🇷 한글 설명
MongoDB Compass가 저장된 뷰의 집계 파이프라인을 편집 가능한 소스로 변환할 때 특정 BSON 값을 적절히 이스케이프하지 못하는 취약점입니다. 공격자가 정교하게 조작된 뷰를 포함한 MongoDB 배포판에 사용자가 연결하여 해당 뷰를 편집하려고 하면, Compass를 실행 중인 사용자의 권한으로 임의의 코드가 실행될 수 있습니다.
💡 쉬운 설명
나쁜 의도로 만들어진 데이터베이스 뷰를 열기만 해도 해커가 내 컴퓨터에서 몰래 명령을 실행할 수 있는 보안 결함입니다. 데이터베이스 관리 도구인 MongoDB Compass를 사용할 때 발생할 수 있는 위험입니다.
🇺🇸 원문 (English)
MongoDB Compass improperly escapes certain BSON values when converting a stored view’s aggregation pipeline into editable source. When a user connects to a MongoDB deployment containing a specially crafted view and opens that view for editing, the values can cause arbitrary code to execute with the privileges of the user running Compass.
📍 영향받는 시스템
MongoDB Compass (BSON 이스케이프 취약점이 존재하는 버전)
⚔️ 공격 벡터
조작된 BSON 값이 포함된 MongoDB 뷰를 Compass에서 편집할 때 발생하는 클라이언트 측 코드 실행
🛡️ 대응 방법
MongoDB Compass를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약점이 해결된 최신 버전인지 공식 보안 공지(Advisory)와 대조하여 확인하십시오.
mongodb-compass --version 2>/dev/null || echo 'Compass not found in PATH'