MongoDB mongo-express のリモートコード実行の脆弱性（CVE-2019-10758）

何が起きた

MongoDB の管理用ツール mongo-express に、toBSON という処理を使う窓口を通じて、サーバー上で任意の（攻撃者が好きに選べる）命令を実行される弱点が見つかりました。NVD の説明によると、vm という部品を安全でない形で使っていたことが原因です。CISA によると、実際に悪用が確認されています。NVD の評価では、ネットワーク経由で、一般利用者程度の権限を持つ攻撃者が悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

CVE の記録によると、0.54.0 より前の mongo-express を使っている人・組織が影響を受けます。

何をすればいい

CVE の記録で影響を受けるのは 0.54.0 より前とされているため、mongo-express を 0.54.0 以降に更新されているか確認してください。mongo-express の変更履歴では、0.54 で BSON の解析の方法が変わっています。古いバージョンが使われていないか確かめてください。

やることチェックリスト

• mongo-express を 0.54.0 以降に更新する
• mongo-express の今のバージョンを確かめる
• mongo-express を動かしているサーバーを洗い出す

用語メモ

mongo-express

データベースの MongoDB を、ブラウザの画面から操作するための管理ツールです。

toBSON

受け取ったデータを MongoDB が扱う BSON という形式に変換する処理です。