CVE-2025-12893
Təsvir
Kliyentlər sənədləşdirilmiş Genişləndirilmiş Aç İstifadəsi (Extended Key Usage - EKU) tələblərinə uyğun gəlməyən kliyent sertifikatı təqdim etdikləri halda belə, MongoDB serveri ilə uğurlu şəkildə TLS əl sıxma (handshake) prosesini yerinə yetirə bilərlər. extendedKeyUsage təyin edilmiş lakin extendedKeyUsage = clientAuth çatışmayan sertifikat hələ də TLS əl sıxma vasitəsilə kliyent kimi uğurla autentifikasiya edilə bilər. Bu problem yalnız Windows və ya Apple üzərində işləyən MongoDB serverlərinə xasdır, çünki gözlənilən validasiya davranışı Linux sistemlərində düzgün funksionallaşır. Əlavə olaraq, MongoDB serverləri sənədləşdirilmiş Genişləndirilmiş Aç İstifadəsi (EKU) tələblərinə uyğun gəlməyən server sertifikatları təqdim edən serverlərlə uğurla çıxan (egress) TLS bağlantıları qura bilərlər. extendedKeyUsage təyin edilmiş lakin extendedKeyUsage = serverAuth çatışmayan sertifikat hələ də TLS əl sıxma vasitəsilə server kimi uğurla autentifikasiya edilə bilər. Bu problem yalnız Apple üzərində işləyən MongoDB serverlərinə xasdır, çünki gözlənilən validasiya davranışı həm Linux, həm də Windows sistemlərində düzgün funksionallaşır. Bu zəiflik MongoDB Server v7.0-ın 7.0.26-dan əvvəlki versiyalarına, MongoDB Server v8.0-ın 8.0.16-dan əvvəlki versiyalarına və MongoDB Server v8.2-nin 8.2.2-dən əvvəlki versiyalarına təsir göstərir.
Necə düzəltmək olar
- mongodb mongodb7.0.26, 8.0.16, 8.2.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mongodb mongodb | 7.0.0 ≤ v < 7.0.26, 8.0.0 ≤ v < 8.0.16, 8.2.0 ≤ v < 8.2.2 | 7.0.26, 8.0.16, 8.2.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.