🇰🇷 한글 설명
MongoDB PHP 드라이버의 명령 모니터링 지원 기능에서 신뢰할 수 없는 데이터의 역직렬화 취약점이 발견되었습니다. 공격자가 데이터베이스 작업에 포함된 데이터를 제어할 수 있다면, 애플리케이션 내의 특정 클래스를 임의로 생성하고 역직렬화 메서드를 실행하게 만들 수 있습니다. 이로 인한 영향은 애플리케이션에 존재하는 클래스의 종류에 따라 달라집니다.
💡 쉬운 설명
데이터베이스를 사용하는 프로그램이 외부에서 들어온 데이터를 검증 없이 잘못 처리하여 발생하는 문제입니다. 해커가 조작된 데이터를 보내면 프로그램 내부의 특정 기능을 강제로 실행시켜 시스템에 문제를 일으킬 수 있습니다.
🇺🇸 원문 (English)
Deserialization of untrusted data in the command monitoring support of the MongoDB PHP Driver can cause class names embedded in document content to be honored when the driver builds monitoring event objects. When an application registers a command monitoring subscriber and includes untrusted data in a database operation, an unauthenticated party who controls that data may cause an application class implementing the driver's persistable interface to be instantiated and its unserialization method invoked with the supplied data. The resulting impact depends on the classes available in the application.
📍 영향받는 시스템
MongoDB PHP Driver (버전 미상, 명령 모니터링 기능을 사용하는 환경)
⚔️ 공격 벡터
데이터베이스 작업 시 포함된 조작된 데이터를 통한 원격 역직렬화 공격
🛡️ 대응 방법
MongoDB PHP 드라이버를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 MongoDB 드라이버의 버전을 확인하여 보안 패치가 적용된 최신 버전인지 대조하십시오.
php --ri mongodb | grep 'version'