🇰🇷 한글 설명
MongoDB 서버의 서버 측 MozJS 스크립팅 엔진이 모듈 로딩 훅을 무조건 등록하여, JavaScript 호출을 통해 mongod 프로세스 권한으로 호스트 파일시스템의 임의 파일을 읽을 수 있는 취약점이 발견되었습니다. 인증된 사용자가 조작된 집계 파이프라인 명령을 통해 이를 악용하여 MongoDB 서버 프로세스가 접근 가능한 민감한 파일을 읽을 수 있습니다.
💡 쉬운 설명
MongoDB 데이터베이스에 로그인할 수 있는 사용자가 특별히 만든 명령을 보내면, 서버 컴퓨터의 중요한 파일을 몰래 읽을 수 있습니다. 설정 파일이나 인증 정보 같은 민감한 자료가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
A vulnerability was discovered in MongoDB Server where the server-side MozJS scripting engine unconditionally registered a module loading hook that enables JavaScript calls to read arbitrary files from the host filesystem using the mongod process's privileges. An authenticated user could exploit this through crafted aggregation pipeline commands to read sensitive files accessible to the MongoDB server process.
📍 영향받는 시스템
MongoDB Server (MozJS 스크립팅 엔진 포함 버전, 패치 이전 버전)
⚔️ 공격 벡터
인증된 사용자가 조작된 집계 파이프라인 명령으로 MozJS 모듈 로더를 호출해 호스트의 임의 파일을 읽음
🛡️ 대응 방법
MongoDB를 공식 패치된 최신 버전으로 업그레이드하고, 불필요한 사용자 권한을 제한하며 서버 프로세스의 파일 접근 권한을 최소화
🔧 검증 코드
출력된 버전이 CVE-2026-13078 패치 버전 이상이면 조치 완료, 미만이면 업그레이드가 필요함
mongod --version 2>/dev/null | head -n 1