🇰🇷 한글 설명
낮은 권한을 가진 인증된 사용자가 클라이언트 제공 명령 매개변수의 검증 미흡을 악용하여 역할 기반 쿼리 수준 액세스 제어를 우회할 수 있습니다. 이 취약점은 non-apiStrict 설정에서 find, update, delete, aggregate 명령을 수행할 때 권한이 없는 데이터에 대한 읽기 및 쓰기를 허용할 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 시스템의 보안 규칙을 속여서 다른 사람의 데이터를 몰래 보거나 수정할 수 있는 문제입니다. 특히 특정 설정이 켜져 있을 때 데이터를 찾거나 삭제하는 과정에서 발생합니다.
🇺🇸 원문 (English)
An authenticated user with low privileges may be able to perform unauthorized reads and writes on data protected by role-based query-level access controls, due to insufficient validation of certain client-supplied command parameters. The issue affects find, update, delete, and aggregate commands in non-apiStrict configurations.
📍 영향받는 시스템
non-apiStrict 설정이 활성화된 시스템 (find, update, delete, aggregate 명령 사용 시)
⚔️ 공격 벡터
조작된 명령 매개변수를 전송하여 역할 기반 액세스 제어(RBAC)를 우회하는 방식
🛡️ 대응 방법
apiStrict 설정을 활성화하거나, 클라이언트 제공 매개변수에 대한 서버 측 검증 로직을 강화해야 합니다.
🔧 검증 코드
명령어 결과에 apiStrict: false 설정이 발견되면 해당 취약점에 노출될 가능성이 있는 상태입니다.
grep -r "apiStrict: false" /etc/config_path/ 2>/dev/null