CVE-2025-23061 - Mongoose 명령어 삽입

정보 노출: 적절한 권한 없이 민감한 데이터에 접근
인증 우회: 관리자 전용 정보 검색
임의 코드 실행: MongoDB 서버에서 JavaScript 실행
데이터 변조: 데이터베이스 레코드 수정 가능

Mongoose < 8.9.5에서 populate() 함수의 match 옵션에 영향을 미치는 명령어 삽입 취약점에 대한 개념 증명입니다.

취약점 세부 정보

CVE ID: CVE-2025-23061
심각도: CRITICAL (CVSS 9.0)
영향을 받는 패키지: mongoose
취약한 버전:

2024년 11월 7일: Dat Phung이 Mongoose에서 심각한 취약점을 발견하고 Snyk에 보안 보고서를 제출했습니다.
2024년 11월 26일: Mongoose가 이 취약점을 해결하기 위해 버전 8.8.3을 출시했습니다.
2024년 12월 2일: 미국 국립 취약점 데이터베이스(NVD)가 이 취약점에 대해 CVE-2024-53900을 공개했습니다.
2024년 12월 17일: Dat Phung이 Mongoose의 8.8.3 패치를 분석한 결과, 여전히 RCE(원격 코드 실행)가 가능한 우회 방법을 발견했습니다. Tidelift에 상세한 보안 보고서를 제출했습니다.
2025년 1월 13일: Mongoose가 버전 8.9.5를 출시하여 우회 방법을 효과적으로 차단하는 강화된 패치를 도입했습니다.
2025년 1월 15일: 미국 국립 취약점 데이터베이스(NVD)가 CVE-2025-23061을 공식 공개하며 새로 발견된 취약점의 심각성을 강조했습니다.

이 취약점은 CVE-2024-53900의 불완전한 수정으로 인해 발생합니다. 직접적인 $where 삽입은 차단되지만, 공격자는 $and, 등의 논리 연산자 내에 연산자를 중첩하여 이 보호를 우회할 수 있습니다.