PT-2021-13886 · Mongodb · Mongodb-Client-Encryption
Durran Jordan
·
Publicado
2021-02-25
·
Atualizado
2024-09-16
·
CVE-2021-20327
CVSS v3.1
6.8
Média
| Vetor | AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N |
**Nome do software vulnerável e versões afetadas:
Módulo mongodb-client-encryption, versão 1.2.0
Descrição:
O problema decorre da falha do módulo mongodb-client-encryption em validar corretamente o certificado do servidor KMS. Isso poderia permitir que um invasor com uma posição privilegiada na rede interceptasse o tráfego entre o driver Node.js e o serviço KMS, tornando ineficaz a criptografia no nível do campo do lado do cliente (CSFLE). A vulnerabilidade foi descoberta durante testes internos e não afeta cargas de tráfego do driver com serviços de chave compatíveis com CSFLE de aplicativos residentes nas estruturas de rede da AWS, GCP e Azure, devido a controles compensatórios nesses ambientes. Além disso, ela não afeta cargas de trabalho do driver que não utilizam criptografia em nível de campo.
Recomendações:
Como solução alternativa temporária, considere desativar o uso do módulo mongodb-client-encryption versão 1.2.0 até que um patch esteja disponível. Restrinja o acesso ao serviço KMS para minimizar o risco de exploração. Evite usar o módulo vulnerável em ambientes onde a CSFLE é crucial. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Improper Certificate Validation
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Mongodb-Client-Encryption