🇰🇷 한글 설명
MongoDB Rust 드라이버의 진단 추적(tracing) 기능이 자동 클라이언트 측 필드 레벨 암호화(CSFLE) 적용 이전의 명령어 내용을 기록할 수 있습니다. 선택적 추적 기능과 자동 암호화를 함께 사용하는 배포 환경에서, 추적 데이터를 읽을 수 있는 사용자는 암호화 키 없이도 암호화 대상으로 지정된 필드 값을 확인할 수 있습니다.
💡 쉬운 설명
MongoDB 프로그램이 데이터를 암호화하기 전에 작업 기록(로그)을 남기는 부분에 문제가 있습니다. 로그를 볼 수 있는 사람은 암호화된 줄 알았던 민감한 정보를 그대로 볼 수 있습니다.
🇺🇸 원문 (English)
A component of the MongoDB Rust Driver that records diagnostic tracing data can capture command content before automatic client-side field level encryption is applied. In deployments that turn on the optional tracing capability together with automatic in-use encryption, a party with read access to the application's exported trace data may obtain field values that the application designated for encryption, without access to the encryption keys. This may result in unintended disclosure of data.
📍 영향받는 시스템
MongoDB Rust Driver (추적 기능과 자동 CSFLE를 함께 사용하는 환경, 정확한 영향 버전은 공식 권고 확인 필요)
⚔️ 공격 벡터
추적 기능이 활성화된 애플리케이션이 내보낸 추적 데이터를 읽을 수 있는 권한자가 암호화 전 평문 필드 값을 획득
🛡️ 대응 방법
MongoDB Rust Driver를 공식 패치 버전으로 업데이트하고, 패치 전까지 추적(tracing) 기능을 비활성화하거나 추적 데이터 접근 권한을 제한
🔧 검증 코드
출력된 mongodb 버전이 MongoDB 공식 보안 권고에서 명시한 수정 버전 이상이면 패치된 것이며, 그보다 낮으면 취약한 상태이므로 업데이트가 필요합니다.
cargo tree -i mongodb 2>/dev/null | grep -E 'mongodb v'