CVE-2021-20327
Açıklama
Node.js mongodb-client-encryption modülünün belirli bir sürümü, KMS sunucusunun sertifikasının doğru şekilde doğrulanmasını gerçekleştirmez. Bu güvenlik açığı, ayrıcalıklı bir ağ konumuyla birlikte aktif bir MITM saldırısı ile birleştiğinde, Node.js sürücüsü ile KMS hizmeti arasındaki trafiğin ele geçirilmesine neden olabilir ve istemci tarafı alan düzeyi şifrelemeyi (CSFLE) etkisiz hale getirebilir. Bu sorun dahili testler sırasında keşfedilmiştir ve 29 Ocak 2021'den itibaren mevcut olan ve 4 Şubat 2021'de NPM Registry üzerinde kullanımdan kaldırılan mongodb-client-encryption modülü sürüm 1.2.0'ı etkilemektedir. Bu güvenlik açığı; AWS, GCP ve Azure ağ yapıları içinde bulunan uygulamalardan gelen, CSFLE destekli anahtar servislerine sahip sürücü trafik yüklerini, bu ortamlardaki telafi edici kontroller nedeniyle etkilememektedir. Bu sorun, Alan Düzeyi Şifreleme kullanmayan sürücü iş yüklerini etkilemez. Bu sorun, MongoDB Node.js Driver mongodb-client-encryption modülü sürüm 1.2.0'ı etkilemektedir.
Nasıl düzeltilir
- mongodb-client-encryption1.2.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mongodb mongodb_client_encryption | 1.2.0 | — |
| mongodb-client-encryptionnpm | 1.2.0 ≤ v < 1.2.1 | 1.2.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.