🇰🇷 한글 설명
MongoDB 서버의 집계 프레임워크(aggregation framework)에서 잘못된 권한 부여 취약점이 발견되었습니다. 최소한의 권한을 가진 인증된 사용자가 특수하게 조작된 집계 요청을 생성하여, 서버의 권한 검사 시스템이 실제 실행되는 작업과 다른 작업을 검사하도록 유도함으로써 대상 데이터베이스의 컬렉션 데이터에 무단으로 접근할 수 있습니다.
💡 쉬운 설명
권한이 아주 적은 사용자가 교묘하게 조작된 명령을 보내면, 데이터베이스가 권한을 잘못 확인하여 허용되지 않은 데이터를 보여주는 문제입니다. 이를 통해 공격자는 원래 볼 수 없는 중요한 정보를 몰래 읽어갈 수 있습니다.
🇺🇸 원문 (English)
MongoDB Server contains an incorrect authorization vulnerability in the aggregation framework. An authenticated user with minimal privileges can craft a specially formatted aggregation request that causes the server's authorization subsystem to evaluate a different operation than what is actually executed, resulting in unauthorized read access to collection data within the target database.
📍 영향받는 시스템
MongoDB Server (Aggregation Framework 사용 버전)
⚔️ 공격 벡터
권한이 낮은 인증된 사용자가 특수하게 조작된 aggregation 요청을 전송
🛡️ 대응 방법
MongoDB 보안 패치 적용 및 최소 권한 원칙에 따른 사용자 권한 재검토
🔧 검증 코드
출력된 MongoDB 버전을 확인하여 해당 취약점이 해결된 최신 보안 패치 버전인지 제조사 공지사항과 대조합니다.