CVE-2025-12893
Açıklama
İstemciler, belgelenen Genişletilmiş Anahtar Kullanımı (EKU) gereksinimleriyle uyumlu olmayan bir istemci sertifikası sunmalarına rağmen bir MongoDB sunucusuyla TLS el sıkışmasını başarıyla gerçekleştirebilir. extendedKeyUsage belirten ancak extendedKeyUsage = clientAuth içermeyen bir sertifika, TLS el sıkışması aracılığıyla istemci olarak yine de başarıyla kimlik doğrulamasından geçebilir. Bu sorun, Windows veya Apple üzerinde çalışan MongoDB sunucularına özgüdür; beklenen doğrulama davranışı Linux sistemlerinde doğru şekilde çalışır. Ayrıca, MongoDB sunucuları, belgelenen Genişletilmiş Anahtar Kullanımı (EKU) gereksinimleriyle uyumlu olmayan sunucu sertifikaları sunan sunucularla giden TLS bağlantıları kurmayı başarıyla gerçekleştirebilir. extendedKeyUsage belirten ancak extendedKeyUsage = serverAuth içermeyen bir sertifika, TLS el sıkışması aracılığıyla sunucu olarak yine de başarıyla kimlik doğrulamasından geçebilir. Bu sorun, Apple üzerinde çalışan MongoDB sunucularına özgüdür; beklenen doğrulama davranışı hem Linux hem de Windows sistemlerinde doğru şekilde çalışır. Bu güvenlik açığı, 7.0.26 öncesi MongoDB Server v7.0 sürümlerini, 8.0.16 öncesi MongoDB Server v8.0 sürümlerini ve 8.2.2 öncesi MongoDB Server v8.2 sürümlerini etkiler.
Nasıl düzeltilir
- mongodb mongodb7.0.26, 8.0.16, 8.2.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mongodb mongodb | 7.0.0 ≤ v < 7.0.26, 8.0.0 ≤ v < 8.0.16, 8.2.0 ≤ v < 8.2.2 | 7.0.26, 8.0.16, 8.2.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.