🇰🇷 한글 설명
이 MongoDB 연동 라이브러리의 관계형 쿼리 생성 과정에서 타입 처리 결함이 존재합니다. 관련 레코드의 부재를 확인하는 조건이 잘못된 데이터 타입의 식별자로 컴파일될 수 있습니다. 이러한 검사에 의존해 문서 접근을 제어하는 애플리케이션에서는 기본 권한의 사용자가 본래 차단되어야 할 문서를 조회, 수정, 삭제할 수 있으며, 이 실패는 오류 없이 조용히 발생합니다.
💡 쉬운 설명
데이터베이스 검색 시 자료의 종류를 잘못 해석하는 버그가 있습니다. 그래서 원래 보이면 안 되는 문서에 일반 사용자가 접근하거나 바꾸거나 지울 수 있습니다.
🇺🇸 원문 (English)
A type-handling flaw in the relationship query building of this MongoDB integration library can cause a check for the absence of a related record to be compiled with an identifier of the wrong data type. In an application that relies on such a check to decide which documents a request may see or act on, a user with basic privileges may be served, may change, or may remove documents that the check was intended to withhold. The failure is silent and produces no error.
📍 영향받는 시스템
해당 MongoDB 연동 라이브러리의 취약 버전 (정확한 패키지명과 버전은 벤더 권고문 확인 필요)
⚔️ 공격 벡터
일반 권한을 가진 인증 사용자가 관계형 쿼리 조건을 이용해 접근 제어 검사를 우회하여 제한된 문서를 조회, 변경, 삭제합니다.
🛡️ 대응 방법
벤더가 제공하는 최신 패치 버전으로 라이브러리를 업데이트하고, 접근 제어 로직이 관계 검사에만 의존하지 않도록 애플리케이션 단에서 추가 권한 검증을 적용합니다.
🔧 검증 코드
출력된 설치 버전을 벤더의 취약 버전 범위 및 패치 권고와 비교하여, 취약 범위에 포함되면 업데이트가 필요하고 패치 버전 이상이면 안전합니다.
npm ls mongoose 2>/dev/null | grep -E 'mongoose@' || pip show mongoengine 2>/dev/null | grep -i version