🇰🇷 한글 설명
MongoDB Server의 라우터에서 쿼리 통계 직렬화 시 보안 문제가 발생하여, 모니터링 권한을 가진 사용자가 다른 사용자의 가공되지 않은 검색 쿼리 텍스트에 접근할 수 있습니다. 직렬화 로직의 부적절한 조건 검사로 인해 데이터 마스킹 메커니즘이 우회되어, 민감한 쿼리 리터럴이 통계 인터페이스를 통해 노출됩니다.
💡 쉬운 설명
데이터베이스 관리 도구에서 보안을 위해 숨겨야 할 검색 내용이 실수로 그대로 노출되는 문제입니다. 모니터링 권한이 있는 사람이 다른 사용자가 입력한 민감한 검색어를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
A security issue in MongoDB Server's query statistics serialization on the router allows users with monitoring privileges to access unredacted search query text from other users' operations. An improper conditional check in the serialization logic causes the data redaction mechanism to be bypassed when processing search queries through the sharded cluster router. This results in sensitive query literals being stored and made accessible through the query statistics interface.
📍 영향받는 시스템
MongoDB Server (Sharded Cluster Router 포함)
⚔️ 공격 벡터
모니터링 권한을 가진 내부 사용자가 쿼리 통계 인터페이스를 통해 민감한 데이터에 접근
🛡️ 대응 방법
MongoDB 보안 패치 적용 및 모니터링 권한에 대한 최소 권한 원칙 적용
🔧 검증 코드
설치된 MongoDB 버전을 확인하여 해당 취약점이 해결된 최신 패치 버전인지 제조사 보안 권고안과 비교합니다.