p PatchFirst

CVE-2019-2386

CVE-2019-2386 · Authorization session conflation

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

After user deletion in MongoDB Server the improper invalidation of authorization sessions allows an authenticated user's session to persist and become conflated with new accounts, if those accounts reuse the names of deleted ones. This issue affects MongoDB Server v4.0 versions prior to 4.0.9; MongoDB Server v3.6 versions prior to 3.6.13 and MongoDB Server v3.4 versions prior to 3.4.22. Workaround: After deleting one or more users, restart any nodes which may have had active user authorization sessions. Refrain from creating user accounts with the same name as previously deleted accounts.

CVSS 7.1 · Élevée · EPSS 1,1% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system

Produits et versions concernés

  • mongodb server

    Versions du logiciel
    • ≥ 4.0, < 4.0.9: Concernée (custom)
    • ≥ 3.6, < 3.6.13: Concernée (custom)
    • ≥ 3.4, < 3.4.22: Concernée (custom)

    Mettez à jour vers 3.4.22; Mettez à jour vers 3.6.13; Mettez à jour vers 4.0.9

  • mongodb Ubuntu:Pro:14.04:LTS

    Versions du logiciel
    • 1:2.4.6-0ubuntu5
    • 1:2.4.6-0ubuntu6
    • 1:2.4.8-1ubuntu1
    • 1:2.4.8-2
    • 1:2.4.9-1
    • 1:2.4.9-1ubuntu1
    • 1:2.4.9-1ubuntu2
    • 1:2.4.9-1ubuntu2+esm2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • mongodb Ubuntu:Pro:16.04:LTS

    Versions du logiciel
    • 1:2.6.10-0ubuntu1
    • 1:2.6.10-0ubuntu1+esm2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • mongodb Ubuntu:18.04:LTS

    Versions du logiciel
    • 1:3.4.7-1
    • 1:3.4.7-1ubuntu1
    • 1:3.4.7-1ubuntu2
    • 1:3.4.7-1ubuntu4
    • 1:3.4.14-3ubuntu1
    • 1:3.4.14-3ubuntu2
    • 1:3.6.3-0ubuntu1
    • 1:3.6.3-0ubuntu1.1
    Plages de versions concernées
    • ECOSYSTEM: < 1:3.6.3-0ubuntu1.3

    Mettez à jour vers 1:3.6.3-0ubuntu1.3

  • mongodb Ubuntu:20.04:LTS

    Versions du logiciel
    • 1:3.6.9+really3.6.8+90~g8e540c0b6d-0ubuntu2
    • 1:3.6.9+really3.6.8+90~g8e540c0b6d-0ubuntu5
    Plages de versions concernées
    • ECOSYSTEM: < 1:3.6.9+really3.6.8+90~g8e540c0b6d-0ubuntu5.2

    Mettez à jour vers 1:3.6.9+really3.6.8+90~g8e540c0b6d-0ubuntu5.2

Sources originales

Vérifiez votre serveur →