Podatności MongoDB Rust Driver

Komponent MongoDB Rust Driver rejestrujący dane diagnostyczne może przechwytywać treść poleceń przed zastosowaniem automatycznego szyfrowania pól po stronie klienta. W środowiskach, które włączają opcjonalną funkcję śledzenia wraz z automatycznym szyfrowaniem w użyciu, podmiot mający dostęp do odczytu wyeksportowanych danych śledzenia może uzyskać wartości pól przeznaczonych do szyfrowania bez dostępu do kluczy szyfrujących, co może skutkować nieuprawnionym ujawnieniem danych.

W komponencie GridFS sterownika MongoDB dla języka Rust występuje nieprawidłowa neutralizacja znaków specjalnych w logice zapytań. Podany przez wywołującego identyfikator pliku może zostać zinterpretowany jako warunek zapytania zamiast jako wartość dosłowna. Uwierzytelniony użytkownik mogący wpłynąć na ten identyfikator może uzyskać dostęp do nieprzeznaczonych plików lub usunąć wszystkie fragmenty plików w danym bucketcie, czyniąc je nieczytelnymi.

MongoDB Rust Driver nie neutralizuje specjalnych znaków w identyfikatorze celu dostarczonym przez wywołującego przed osadzeniem go w żądaniu wysyłanym do serwera. Osoba mogąca wpływać na ten identyfikator może spowodować wykonanie operacji zapisu na niezamierzonym celu w tym samym wdrożeniu.

Gdy w ciągu połączenia pojawia się tlsInsecure=False, walidacja certyfikatu jest wyłączona. Podatność dotyczy MongoDB Rust Driver w wersjach przed v3.2.5.