🇰🇷 한글 설명
MongoDB C# 드라이버의 BSON 처리 및 바이너리 직렬화 과정에서 데이터 검증 결함이 발견되었습니다. 외부에서 제공된 바이너리 데이터 내의 크기 정보와 실제 데이터 양을 일치시키지 않아, 인증되지 않은 공격자가 데이터베이스 명령에 임의의 요소를 삽입하거나 삭제할 수 있습니다. 이를 통해 애플리케이션 권한 범위 내에서 데이터의 무단 수정 및 의도하지 않은 데이터 노출이 발생할 수 있습니다.
💡 쉬운 설명
데이터를 주고받을 때 크기가 맞는지 확인하지 않는 허점이 있어, 공격자가 몰래 명령어를 조작할 수 있는 문제입니다. 이를 통해 공격자는 데이터베이스의 내용을 마음대로 바꾸거나 몰래 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
A data-validation flaw exists in the BSON handling and binary serialization path of the MongoDB C# Driver. When an application constructs a raw or lazy BSON document object from externally supplied binary data, the driver does not verify that the size quantity declared inside that data matches the amount of data actually provided, and it copies the data onto the wire unchanged. An unauthenticated party who can supply binary content to such an application can thereby cause additional elements to be inserted into, or existing elements to be removed from, the database command the application issues, without needing any database credentials of their own. This can result in unauthorized modification of stored data and disclosure of data outside the intended scope of the application's request, bounded by the database privileges the application itself holds.
📍 영향받는 시스템
MongoDB C# Driver (BSON handling 및 binary serialization 경로를 사용하는 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 애플리케이션에 조작된 바이너리 데이터를 전달하여 데이터베이스 명령을 변조함
🛡️ 대응 방법
MongoDB C# Driver를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 MongoDB.Driver의 버전을 확인하여 취약점이 해결된 최신 버전인지 대조하십시오.
dotnet list package | grep MongoDB.Driver