- Yama var
- Son 7 gün
- CWE-74
CVE-2026-114655
libmongocrypt'te anahtar kasası ve sağlayıcı değerleri nedeniyle KMS isteklerine enjeksiyon açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- mongodb
ÖzetTürkçe
libmongocrypt, harici anahtar yönetim hizmetlerine (AWS, Azure ve GCP) yapılan istekleri oluştururken anahtar kasası belgelerinden, KMS sağlayıcı yapılandırmasından ve KMS yanıtlarından alınan değerleri istek satırlarına, başlıklara ve imzalanan istek gövdelerine, her bağlam için doğrulama veya kodlama yapmadan ekliyor. Anahtar kasası koleksiyonuna yazma erişimi olan bir kullanıcı, bu isteklerin yapısını değiştirebilir; istek gövdelerine üye ekleyebilir ve kütüphanenin uygulamanın kimlik bilgileriyle imzaladığı belirteç iddialarını değiştirebilir. Bunun sonucunda, uygulamanın amaçlamadığı parametrelerle anahtar yönetim işlemleri gerçekleştirilebilir.
Kaynaktaki açıklama (İngilizce)
libmongocrypt builds requests to external key management services (AWS, Azure and GCP) by inserting values from key vault documents, KMS provider configuration and KMS responses into request lines, headers and signed request bodies without validating or encoding them for each context. A user with write access to the key vault collection can alter the structure of these requests, including adding members to request bodies and token claims that the library then signs with the application's credentials. This may result in key management operations being performed with parameters the application did not intend.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| MongoDB libmongocrypt | ≥ 1.0.0, < 1.21.1 | 1.21.1 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.