CVE-2026-114655
ŚrednieCVSS 5.9Streszczenie
libmongocrypt buduje żądania do zewnętrznych usług zarządzania kluczami (AWS, Azure i GCP), wstawiając wartości z dokumentów key vault, konfiguracji dostawcy KMS i odpowiedzi KMS do linii żądań, nagłówków i podpisanych ciał żądań bez ich walidacji lub kodowania dla każdego kontekstu. Użytkownik z prawem zapisu do kolekcji key vault może zmienić strukturę tych żądań, w tym dodać elementy do ciał żądań i roszczenia tokenów, które biblioteka następnie podpisuje poświadczeniami aplikacji. Może to spowodować wykonanie operacji zarządzania kluczami z parametrami, których aplikacja nie zamierzała użyć.
Ocena ryzyka
Organizacja może doświadczyć nieautoryzowanych operacji zarządzania kluczami, potencjalnie prowadzących do naruszenia integralności kluczy lub nieoczekiwanych działań w usługach chmurowych.
Rekomendacja
Zaktualizuj libmongocrypt do wersji zawierającej poprawkę. Ogranicz prawa zapisu do kolekcji key vault tylko do zaufanych podmiotów i monitoruj nietypowe operacje zarządzania kluczami.
Inne podatności w libmongocrypt
Oryginalny opis (angielski, źródło NVD)
libmongocrypt builds requests to external key management services (AWS, Azure and GCP) by inserting values from key vault documents, KMS provider configuration and KMS responses into request lines, headers and signed request bodies without validating or encoding them for each context. A user with write access to the key vault collection can alter the structure of these requests, including adding members to request bodies and token claims that the library then signs with the application's credentials. This may result in key management operations being performed with parameters the application did not intend.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS