🇰🇷 한글 설명
MongoDB C# 드라이버의 GridFS 구성 요소에서 데이터 쿼리 로직의 특수 요소 중화 미흡으로 인해 발생합니다. 공격자가 공급한 파일 식별자가 리터럴 식별자가 아닌 쿼리 조건으로 해석될 수 있어, 의도하지 않은 파일 내용을 탈취하거나 모든 파일 청크를 삭제하여 데이터를 손실시킬 수 있습니다.
💡 쉬운 설명
파일을 찾을 때 사용하는 이름표를 조작하여, 원래 볼 수 없는 다른 파일을 보거나 저장된 모든 파일을 지워버릴 수 있는 보안 약점입니다. 공격자가 입력한 특수 문자가 시스템 명령처럼 작동하여 발생하는 문제입니다.
🇺🇸 원문 (English)
Improper neutralization of special elements in data query logic in the GridFS component of the MongoDB C# Driver can cause a caller-supplied structured file identifier to be interpreted as a query condition rather than as a literal identifier. An authenticated user who can influence the identifier passed by an affected application may obtain stored file content beyond the intended target or cause all GridFS file chunks in the affected bucket to be removed, rendering stored file content unreadable. The affected rename operation may also rename a stored file other than the intended target.
📍 영향받는 시스템
MongoDB C# Driver (GridFS 구성 요소 포함 버전)
⚔️ 공격 벡터
인증된 사용자가 애플리케이션에 전달되는 파일 식별자(Identifier)에 특수 쿼리 구문을 삽입하여 공격
🛡️ 대응 방법
MongoDB C# Driver를 취약점이 해결된 최신 버전으로 업데이트
🔧 검증 코드
출력된 MongoDB.Driver의 버전을 확인하여 취약점이 해결된 버전인지 대조
dotnet list package | grep MongoDB.Driver