🇰🇷 한글 설명
MongoDB Database Tools의 mongofiles는 --local 옵션을 지정하지 않으면 데이터베이스에 저장된 GridFS 파일명을 get_id의 출력 대상으로 사용합니다. 파일 메타데이터를 수정할 수 있는 사용자가 파일명을 '-'로 설정하면, 이후 권한 있는 사용자의 조회 시 파일 내용이 로컬 파일 대신 표준 출력으로 기록되어 정보가 노출될 수 있습니다. 버전 3.1.4 이상부터 100.20.1 이전까지의 MongoDB Database Tools가 영향을 받습니다.
💡 쉬운 설명
데이터베이스 파일 이름을 조작하면 파일 내용이 화면이나 로그로 출력되어 권한 없는 사람이 볼 수 있게 됩니다. 공격에는 파일 메타데이터 수정 권한과 상위 권한 사용자의 파일 조회 과정이 필요합니다.
🇺🇸 원문 (English)
MongoDB Database Tools mongofiles uses a database-stored GridFS filename as the output destination for get_id when --local is not specified. A user who can modify the file metadata can set the stored filename to '-', causing a later authorized retrieval to write the file contents to standard output instead of a local file. If standard output is captured in a location accessible to that user, this may disclose GridFS content the user cannot read directly. Exploitation requires a higher-privileged operator to retrieve the affected file without an explicit local destination and attacker access to the captured output. This issue affects MongoDB Database Tools from version 3.1.4 through versions before 100.20.1.
📍 영향받는 시스템
MongoDB Database Tools 3.1.4 이상 100.20.1 미만 버전의 mongofiles
⚔️ 공격 벡터
파일 메타데이터의 파일명을 '-'로 변경한 뒤, 상위 권한 사용자가 로컬 출력 옵션 없이 파일을 조회할 때 표준 출력 내용을 공격자가 접근 가능한 위치에서 캡처
🛡️ 대응 방법
MongoDB Database Tools를 100.20.1 이상 버전으로 업데이트하고, 파일 메타데이터 수정 권한을 최소화하며, mongofiles 사용 시 --local 옵션으로 출력 대상을 명시
🔧 검증 코드
출력된 버전이 100.20.1 미만이면 취약하며, 100.20.1 이상이면 패치가 적용된 것입니다.
mongofiles --version 2>/dev/null | head -n 1