CVE-2026-93394
Açıklama
libmongoc'un SCRAM kimlik doğrulama uygulamasındaki bir hata, sunucunun ilk mesajında bir nonce uyumsuzluğu tespit edildiğinde bile istemcinin kimlik doğrulama el sıkışmasına devam etmesine ve istemci kanıtını iletmesine neden olmaktadır. Ortadaki adam (man-in-the-middle) konumundaki yetkisiz bir taraf, kontrollü bir tuz (salt) ve düşük yineleme sayısı içeren hazırlanmış bir sunucu-ilk-mesajı enjekte ederek ve ardından çevrimdışı parola kırma işlemini gerçekleştirmek için ortaya çıkan istemci kanıtını yakalayarak bu durumu istismar edebilir. Bu güvenlik açığı, üretim dağıtımlarında standart olan TLS ile hafifletilmektedir.
Nasıl düzeltilir
- mongodb c_driver2.3.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mongodb c_driver | 2.0.0 ≤ v < 2.3.2 | 2.3.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.