Päivän 2026-10-26 jälkikäteisanalyysi, laadittu 27. lokakuuta 2026. Päiväys tarkoittaa tarkasteltavaa päivää; lähteiden julkaisu- ja päivityspäivät on merkitty alle.
Mitä tiedote muuttaa ympäristössäsi
Lähtökohtana on CERTFR-2026-AVI-1386, julkaistu 2026-10-26. Soveltamisalaan kuuluvat libmmongocrypt, C Driver, C# Driver, Compass. Ilmoitetut seuraukset ovat sivustojen välinen pyyntöväärennös CSRF, tietojen muuttaminen, koodin suoritus, SQL-injektio, palvelunesto, turvakontrollien ohitus, luottamuksellisuuden menetys. Ne koskevat tiedotteen kokonaisalaa; kaikkia seurauksia ei liitetä jokaiseen tuotteeseen tai CVE-tunnisteeseen.
Tapauksessa on 5 versiokohtaa ja 14 CVE-tunnistetta. Seuraa korjausta komponenteittain: yleisen päivityksen onnistuminen ei osoita tuotteiden libmmongocrypt ja Compass omien korjausten asentumista.
Tarkasteltavat tuotteet ja versiot
- Viite
- CERTFR-2026-AVI-1386
- Lähteen ensimmäinen julkaisu
- 2026-10-26
- Viimeisin tälle päivälle saatavilla ollut päivitys
- 2026-10-26
- Mainitut komponentit
- libmmongocrypt, C Driver, C# Driver, Compass
- CVE-tunnisteet
- CVE-2026-114645, CVE-2026-114652, CVE-2026-114649, CVE-2026-114646, CVE-2026-114648, CVE-2026-114654, CVE-2026-114653, CVE-2026-114643, CVE-2026-114647, CVE-2026-114650, CVE-2026-114644, CVE-2026-115929, CVE-2026-114651, CVE-2026-114655
| Komponentti | Julkaistu ehto |
|---|---|
| libmmongocrypt | < 1.21.1 |
| C Driver | 2.5.x : < 2.5.7 |
| C Driver | < 1.30.14 |
| C# Driver | < 3.13.0 |
| Compass | < 1.53.1 |
Tuotteen libmmongocrypt julkaistu ehto on ”< 1.21.1”. Vertaa oikeasti ladattua versiota ehtoon omassa versiohaarassaan. Tuotteen libmmongocrypt, C Driver toisen laitoksen korjaus ei sulje tätä tapausta.
Mekanismi ja edellytykset
SQL-injektio sekoittaa tiedot ja komennot. Tarkista parametrisoidut kyselyt, tietokantatunnuksen oikeudet ja lokit; tuhoavaa testisyötettä ei tarvita altistumisen osoittamiseen.
Toimijan mongodb julkaisema ensisijainen tietue CVE-2026-114655 koskee tuotteita libmongocrypt. Käytetty päivitys on päivätty 2026-10-22. Tämä rajaus erotetaan tiedotteen CERTFR-2026-AVI-1386 integraatioista ja tuoteryhmistä.
Tunnisteen CVE-2026-114655 julkaistu arvio on CVSS 4.0, 6/10. Vektori kuvaa teknisiä edellytyksiä, ei hyökkäystiheyttä tai asennuksesi vaarantumisen todennäköisyyttä.
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N
- Hyökkäysvektori
- verkko
- Aiemmat oikeudet
- matala
- Käyttäjän osallistuminen
- ei vaadita
- Monimutkaisuus
- matala
- Hyökkäyksen lisäedellytykset
- olemassa
- Heikkous
- CWE-74
Sopivan toimenpiteen valinta
- Etsi tuotteen libmmongocrypt instanssit, käynnissä olevat versiot ja vastuuhenkilöt. Tallenna ehto < 1.21.1 viitteen CERTFR-2026-AVI-1386 rinnalle.
- Vertaa asennettua haaraa tuotteen libmmongocrypt valmistajaohjeisiin. Valmistele haaran paketti ja riippuvan palvelun testi sekä säilytä alkutilanne.
- Tallenna tuotteen libmmongocrypt ladattu versio uudelleen muutoksen jälkeen ja tarkista kuvattu työnkulku. Poikkeus tarvitsee omistajan, altistumisen rajoituksen ja päättymispäivän.
Korjauksen todentaminen käytännössä
Tuotteeseen libmmongocrypt, C Driver sovitettava tarkistusskenaario: Suorita tuotteen libmmongocrypt testitietokannassa vertailuluku ja transaktio sovelluksen oikealla asiakasohjelmalla. Tarkista oikeudet, virheet ja mahdollinen replikointi; erota palvelimen ja ajurin versiot. Kyse on ehdotetusta puolustavasta testistä, ei väitteestä kolmannen osapuolen järjestelmän testaamisesta.
Lähteen CERTFR-2026-AVI-1386 rajoitus: analyysi ei korvaa valmistajan edellytyksiä tai lokitutkimusta. Vain dokumentoidut versiot esitetään; hyökkäyspäiviä tai uhreja ei keksitä.
Tapauskohtaiset kysymykset
Mikä ehto tuotteelle libmmongocrypt on tarkistettava?
Tiedote CERTFR-2026-AVI-1386 ilmoittaa libmmongocrypt — < 1.21.1. Tarkista laitos ja käynnissä oleva versio; älä yleistä rajaa mainitsemattomiin haaroihin.
Miksi tuotteille libmmongocrypt ja Compass ei riitä yksi korjaus?
CERTFR-2026-AVI-1386 erottaa komponentit 5 kohdan kokonaisuudessa. Vertaa jokaista haaraa sen päivitysohjeisiin ja omaan toiminnalliseen testiin.
Mitä edellytyksiä tietue CVE-2026-114655 kuvaa?
Tunnisteen CVE-2026-114655 julkaistu vektori on CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N. Tarkista ehdot tuotteissa libmongocrypt ennen soveltamista tiedotteen CERTFR-2026-AVI-1386 integraatioon.
Lähteet ja liittyvät artikkelit
- CERT-FR · CERTFR-2026-AVI-1386
- Valmistaja ja korjaukset · jira.mongodb.org
- Valmistaja ja korjaukset · github.com
- Valmistaja ja korjaukset · jira.mongodb.org
- Valmistaja ja korjaukset · jira.mongodb.org
- CVE-2026-114655 · CNA
Käytännön opas : Tietojen elinkaaren hallinta: säilytä, arkistoi ja poista todisteiden avulla
Syvennä tämän tapauksen päätöstä
Lähdetiedotteen täydellinen luettelo
Artikkelin taulukko voi olla ote. Luetteloissa ovat kaikki mainitun tiedoteversion järjestelmämerkinnät ja CVE-tunnukset. Ne eivät ole omien laitteidesi inventaario eivätkä yhdistä jokaista CVE:tä jokaiseen tuotteeseen.
Virallinen lähde · CERTFR-2026-AVI-1386
Tiedotteen versio : · Tarkistettu :
Vaikutuksen alaiset järjestelmät · 5
Ranskankielinen alkuperäisteksti säilytetään versioehtojen monitulkintaisten käännösten välttämiseksi.
- libmmongocrypt versions antérieures à 1.21.1
- C Driver versions 2.5.x antérieures à 2.5.7
- C Driver versions antérieures à 1.30.14
- C# Driver versions antérieures à 3.13.0
- Compass versions antérieures à 1.53.1