مرکز امنیت سایبری کانادا در هشدار شماره AV26-1024، وجود چندین آسیب‌پذیری در برخی از محصولات MongoDB را گزارش کرده است که می‌تواند بر امنیت و پایداری برنامه‌های متکی به این پایگاه داده تأثیر بگذارد.
محصولات و نسخه‌های متأثر
بر اساس این گزارش، موارد زیر در معرض خطر هستند:
- Go Driver: نسخه‌های پیش از 2.9.0 و 2.9.2
- libmongocrypt: نسخه‌های پیش از 1.20.5
جزئیات فنی آسیب‌پذیری‌ها
این هشدار امنیتی به سه مورد کلیدی اشاره دارد که در نسخه‌های جدید برطرف شده‌اند:
- Duplicate masterKey field: بروز مشکل در تحلیل مجدد (Re-parse) فیلدهای تکراری masterKey که منجر به استفاده از همان KEK می‌شود.
- Integer Overflow: وقوع سرریز در مقدار 32 بیتی (int32 length overflow) در بخش
bsoncore.valueLength. - BSON Length Validation: عدم رد کردن طول‌های BSON که کمتر از حداقل 5 بایت هستند، پیش از انجام عملیات Slicing.
از مدیران SOC و مهندسان امنیت توصیه شده است تا هرچه سریع‌تر نسخه‌های به‌روزرسانی شده این درایورها و کتابخانه‌ها را در محیط‌های عملیاتی خود اعمال کنند تا از احتمال وقوع اکسپلویت (Exploit) جلوگیری شود.
