🇰🇷 한글 설명
MongoDB Connector for BI에서 SHOW CREATE 문을 통해 반환되는 DDL 텍스트 생성 시, 컬렉션이나 필드 이름과 같은 객체 명칭에 식별자 구분자 이스케이프 처리가 누락되었습니다. 이를 통해 공격자는 특수하게 조작된 이름을 사용하여 SQL 주입 공격을 수행하고, 생성된 SQL 문이 실행될 때 추가적인 명령어를 실행할 수 있습니다.
💡 쉬운 설명
데이터베이스의 이름을 지을 때 특수 문자를 섞어 넣으면, 시스템이 이를 명령어로 착각하여 실행하게 만드는 보안 약점입니다. 공격자가 이름을 교묘하게 설정하면 관리자가 실행하는 명령에 악성 코드가 몰래 포함될 수 있습니다.
🇺🇸 원문 (English)
In MongoDB Connector for BI, MongoDB object names such as collection, field, and index names are placed into the quoted identifiers of the DDL text returned by SHOW CREATE statements without escaping the identifier delimiter. A user with permission to write to a sampled MongoDB collection can choose a name that closes the quoted identifier early, so that additional SQL text becomes part of the generated output. If an operator or automated tool later replays that generated statement against a SQL server, the additional text is executed with the privileges of that session.
📍 영향받는 시스템
MongoDB Connector for BI (특정 버전 미기재, 식별자 이스케이프 미적용 버전)
⚔️ 공격 벡터
샘플링된 MongoDB 컬렉션에 쓰기 권한이 있는 사용자가 SQL 주입용 특수 문자가 포함된 객체 이름을 생성하여 DDL 생성 과정을 오염시킴
🛡️ 대응 방법
MongoDB Connector for BI를 최신 보안 패치가 적용된 버전으로 업데이트하고, 객체 생성 권한을 엄격히 제한함
🔧 검증 코드
설치된 MongoDB Connector for BI의 버전을 확인하여 보안 패치가 적용된 최신 버전인지 대조함
dpkg -l | grep mongodb-connector-for-bi 2>/dev/null || rpm -qa | grep mongodb-connector-for-bi