🇰🇷 한글 설명
libmongocrypt가 외부 키 관리 서비스(AWS, Azure, GCP)로 요청을 보낼 때 키 보관함 문서나 설정값을 검증 또는 인코딩 없이 요청 라인, 헤더, 본문에 삽입합니다. 키 보관함에 쓰기 권한이 있는 사용자는 요청 구조를 조작하여 애플리케이션의 자격 증명으로 의도하지 않은 매개변수가 포함된 키 관리 작업을 수행하게 할 수 있습니다.
💡 쉬운 설명
프로그램이 외부 서비스에 명령을 보낼 때 입력값을 제대로 검사하지 않아 발생하는 보안 문제입니다. 공격자가 데이터를 조작하면 프로그램이 몰래 잘못된 명령을 실행하거나 권한을 남용하게 만들 수 있습니다.
🇺🇸 원문 (English)
libmongocrypt builds requests to external key management services (AWS, Azure and GCP) by inserting values from key vault documents, KMS provider configuration and KMS responses into request lines, headers and signed request bodies without validating or encoding them for each context. A user with write access to the key vault collection can alter the structure of these requests, including adding members to request bodies and token claims that the library then signs with the application's credentials. This may result in key management operations being performed with parameters the application did not intend.
📍 영향받는 시스템
libmongocrypt (KMS 연동 기능을 사용하는 버전)
⚔️ 공격 벡터
키 보관함(Key Vault) 컬렉션에 대한 쓰기 권한을 이용한 요청 데이터 조작
🛡️ 대응 방법
libmongocrypt를 최신 보안 패치가 적용된 버전으로 업데이트하고 키 보관함에 대한 접근 권한을 최소화합니다.
🔧 검증 코드
설치된 libmongocrypt의 버전을 확인하여 취약점이 해결된 최신 버전인지 대조합니다.
dpkg -l | grep libmongocrypt || rpm -qa | grep libmongocrypt