🇰🇷 한글 설명
인증되지 않은 네트워크 클라이언트가 SASL 기반 로그인 교환을 시작한 후 완료하지 않음으로써 MongoDB Connector for BI의 인증 세션을 무기한 유지할 수 있습니다. 이 과정에서 협상 루프에 시간 제한이 없고 읽기 데드라인이 없어, 반복적인 공격 시 연결 슬롯과 백엔드 데이터베이스 연결을 모두 소모하여 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
로그인을 시도하다가 중간에 멈춰버리는 방식으로 서버의 연결 통로를 계속 점유하는 공격입니다. 이 공격이 반복되면 서버의 연결 용량이 가득 차서 실제 사용자가 접속할 수 없게 됩니다.
🇺🇸 원문 (English)
A network-reachable client that has not yet authenticated can hold a MongoDB Connector for BI authentication session open indefinitely by beginning a SASL-based login exchange and then declining to complete it. Because the negotiation loop had no overall time bound and the read from the client had no deadline, each such session retains a worker, a client connection slot, and its associated backend database connections until the process is restarted. Repeated use of this behavior can consume the configured connection capacity and prevent legitimate users from establishing new sessions.
📍 영향받는 시스템
MongoDB Connector for BI (인증 세션 무기한 유지 취약점이 포함된 버전)
⚔️ 공격 벡터
네트워크를 통해 인증되지 않은 상태에서 SASL 로그인 교환을 시작하고 의도적으로 완료하지 않는 방식
🛡️ 대응 방법
MongoDB Connector for BI를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
설치된 MongoDB Connector for BI의 버전을 확인하여 취약점이 해결된 버전인지 대조하십시오.
mongoconnector-bi --version 2>/dev/null || echo 'Not installed'