CVE-2026-106433

WysokieCVSS 8.8

Opublikowano: 08/10/2026(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

Niewłaściwe zarządzanie stanem w MongoDB libmongocrypt może spowodować, że dane specyficzne dla dostawcy będą traktowane jako niekompatybilny typ podczas czyszczenia dokumentu klucza zawierającego zduplikowane pola masterKey. Uwierzytelniony aktor, który może modyfikować dokumenty key vault, lub serwer zwracający taki dokument, może spowodować nieprawidłowy dostęp do pamięci i nieprawidłowe zwolnienia w procesie klienta.

Ocena ryzyka

Może to zakończyć aplikację lub uszkodzić pamięć procesu, prowadząc do awarii lub naruszenia integralności danych.

Rekomendacja

Zaktualizuj libmongocrypt do najnowszej wersji z poprawką. Ogranicz dostęp do dokumentów key vault i monitoruj ich integralność.

Inne podatności w libmongocrypt

CVE-2026-114655Średnie
libmongocrypt buduje żądania do zewnętrznych usług zarządzania kluczami (AWS, Azure i GCP), wstawiając wartości z dokumentów key vault, konfiguracji dostawcy KMS i odpowiedzi KMS do linii żądań, nagłówków i podpisanych ciał żądań bez ich walidacji lub kodowania dla każdego kontekstu. Użytkownik z prawem zapisu do kolekcji key vault może zmienić strukturę tych żądań, w tym dodać elementy do ciał żądań i roszczenia tokenów, które biblioteka następnie podpisuje poświadczeniami aplikacji. Może to spowodować wykonanie operacji zarządzania kluczami z parametrami, których aplikacja nie zamierzała użyć.

Oryginalny opis (angielski, źródło NVD)

Improper state management in MongoDB libmongocrypt can cause provider-specific data to be treated as an incompatible type when cleaning up a key document containing duplicate masterKey fields. An authenticated actor who can modify key vault documents, or a server that returns such a key document, can cause invalid memory access and invalid frees in the client process. This can terminate the application or corrupt process memory.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS