【CVE-2024-8013】MongoDBに重要情報の平文送信の脆弱性、複数バージョンで深刻な問題が発覚

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

MongoDB Incのmongoソフトウェアでセキュリティ脆弱性を確認
重要情報が平文で送信される深刻な問題が発覚
複数バージョンのmongo crypt v1.soとmongocryptdが影響を受ける

MongoDBの重要情報平文送信の脆弱性問題

MongoDB Inc.は2024年10月28日にmongo crypt v1.soおよびmongocryptdにおける重要な情報の平文送信に関する脆弱性【CVE-2024-8013】を公開した。この脆弱性は複数のバージョンに影響を及ぼし、特にmongo crypt v1.so 6.0.0から6.0.17未満、7.0.0から7.0.12未満、7.3.0から7.3.4未満のバージョンで確認されている。^[1]

mongocryptdについても同様の脆弱性が確認されており、バージョン5.0.0から5.0.29未満、6.0.0から6.0.17未満、7.0.0から7.0.12未満、7.3.0から7.3.4未満が影響を受けることが判明した。NVDの評価によるとCVSS v3による深刻度基本値は3.3であり、攻撃元区分はローカルとされている。

この脆弱性の特徴として、攻撃条件の複雑さは低く、攻撃に必要な特権レベルも低いことが指摘されている。利用者の関与は不要であり、影響の想定範囲に変更はないものの、機密性への影響が低く、完全性と可用性への影響はないとされている。ベンダーからは既にアドバイザリとパッチ情報が公開されており、早急な対応が推奨される。

MongoDBセキュリティ脆弱性の影響範囲まとめ

製品名	影響を受けるバージョン
mongo crypt v1.so	6.0.0-6.0.17未満、7.0.0-7.0.12未満、7.3.0-7.3.4未満
mongocryptd	5.0.0-5.0.29未満、6.0.0-6.0.17未満、7.0.0-7.0.12未満、7.3.0-7.3.4未満
CVSS v3深刻度	3.3（注意）
攻撃条件	攻撃元区分：ローカル、複雑さ：低、必要特権：低
影響範囲	機密性：低、完全性：なし、可用性：なし

平文での情報送信について

平文での情報送信とは、データを暗号化せずにそのまま送信することを指しており、以下のような特徴がある。

データが第三者に傍受された場合、内容が容易に読み取られる
セキュリティ上の重大なリスクとなる可能性が高い
機密情報や個人情報の漏洩につながる危険性がある

MongoDBの今回の脆弱性では、重要な情報が平文で送信される問題が確認されており、CVSSによる評価では深刻度は3.3と比較的低いものの、攻撃条件の複雑さが低く特権レベルも低いため、適切な対策が必要とされている。機密性への影響は低く評価されているが、情報漏洩のリスクを考慮すると、早急なアップデートが推奨される。