🇰🇷 한글 설명
MongoDB Server의 집계 프레임워크에서 발생하는 보안 취약점으로, Atlas Search 기능을 사용할 때 제한된 읽기 권한을 가진 인증된 사용자가 뷰 수준의 권한 확인을 우회할 수 있습니다. 내부 명령 매개변수에 대한 검증이 불충분하여 외부 클라이언트가 이를 설정할 경우 보안 검사가 적절히 수행되지 않고 권한이 없는 컬렉션의 데이터에 접근할 수 있습니다.
💡 쉬운 설명
데이터베이스의 특정 부분만 볼 수 있도록 설정된 제한을 무시하고 다른 데이터를 몰래 볼 수 있는 문제입니다. Atlas Search 기능을 켜둔 상태에서 권한이 낮은 사용자가 특수한 명령을 보내면 발생합니다.
🇺🇸 원문 (English)
A security issue in the MongoDB Server aggregation framework allows an authenticated user with limited read privileges to bypass view-level authorization checks and access data from unauthorized collections when Atlas Search features are in use. The issue stems from insufficient validation of an internal command parameter that can be set by external clients, causing a security check to be improperly skipped.
📍 영향받는 시스템
MongoDB Server (Atlas Search 기능 활성화된 환경)
⚔️ 공격 벡터
인증된 사용자가 집계 프레임워크의 내부 명령 매개변수를 조작하여 권한 검사를 우회함
🛡️ 대응 방법
MongoDB 보안 패치를 적용하고, 불필요한 경우 Atlas Search 기능을 비활성화하거나 최소 권한 원칙을 적용함
🔧 검증 코드
설치된 MongoDB의 버전을 확인하여 해당 취약점이 해결된 최신 패치 버전인지 확인합니다.