B43/100
脆弱性 · 高
MongoDB ServerにRCE脆弱性 修正版を公開
ティアB · 今週中にパッチ – 次のスプリントで対応
影響を受ける人： 特定条件下でMongoDB Serverを利用している環境
ティアBの理由： 完全な乗っ取り または シークレットの流出 または サプライチェーン
影響範囲
攻撃
被害
修正
人気ツール · 完全な乗っ取り
取るべき対応
- 利用中のMongoDB Serverを修正版へ更新する
要点
- NoSQLデータベースのMongoDB Serverに深刻な脆弱性が明らかになった
- 特定の条件下で任意のコードを実行されたり、サービス拒否に陥るおそれがある
- 修正版が公開されている
なぜ重要か
MongoDB Serverを利用している開発者は、自分の環境が該当する条件を満たすかを確認し、修正版への更新を検討する必要がある。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中3項目が「はい」
| はい | 開発者に影響 | 開発者や運用チームがデータベースとして使うソフトウェアであるため。 |
| いいえ | 基幹インフラ | MongoDB社1社の製品であり、ほぼすべてのチームが運用する基幹インフラではないため。 |
| はい | 人気ツール | 多くのチームが採用する一般的なNoSQLデータベースであるため。 |
| いいえ | 悪用確認済み | Security NEXT：脆弱性が明らかになったと報じるのみで、悪用された攻撃は記載されていない。 |
| いいえ | 公開エクスプロイト | Security NEXT：エクスプロイトや概念実証の公開には触れられていない。 |
| いいえ | 認証不要のリモート攻撃 | Security NEXT：「特定の条件下」とのみ記載され、認証不要で遠隔から悪用可能とは書かれていない。 |
| はい | 完全な乗っ取り | Security NEXT：「任意のコードを実行されたり」と報じられており、コード実行が可能になる。 |
| いいえ | シークレットの流出 | Security NEXT：データの持ち出しや情報漏えいについては記載されていない。 |
| いいえ | サプライチェーン | Security NEXT：正規パッケージへの悪意あるコードの混入や侵害については記載されていない。 |
| いいえ | 修正なし | Security NEXT：見出しで「修正版を公開」と報じられており、修正版は提供済みである。 |
出典
「MongoDB Server」にRCE脆弱性 - 修正版を公開 ↗ Security NEXT · 1時間前