p PatchFirst

CVE-2026-114655

CVE-2026-114655 · KMS request injection via unsanitized key vault and provider values in libmongocrypt

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

libmongocrypt builds requests to external key management services (AWS, Azure and GCP) by inserting values from key vault documents, KMS provider configuration and KMS responses into request lines, headers and signed request bodies without validating or encoding them for each context. A user with write access to the key vault collection can alter the structure of these requests, including adding members to request bodies and token claims that the library then signs with the application's credentials. This may result in key management operations being performed with parameters the application did not intend.

CVSS 6.0 · Moyenne · EPSS 0,3% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system

Produits et versions concernés

  • libmongocrypt

    Versions du logiciel
    • ≥ 1.0.0, < 1.21.1: Concernée (semver)

    Mettez à jour vers 1.21.1

  • libmongocrypt Debian:12

    Versions du logiciel
    • 1.10.0-1
    • 1.10.1-1
    • 1.11.0-1
    • 1.12.0-1
    • 1.13.0-1
    • 1.13.1-1
    • 1.13.2-1
    • 1.16.0-1
    • 1.17.0-1
    • 1.17.3-1
    • 1.18.1-1
    • 1.18.2-1
    • 1.19.0-1
    • 1.19.1-1
    • 1.20.0-1
    • 1.20.1-1
    • 1.20.2-1
    • 1.20.3-1
    • 1.20.4-1
    • 1.20.5-1
    • 1.21.0-1
    • 1.21.1-1
    • 1.7.2-1
    • 1.8.2-1
    • 1.8.4-1
    • 1.9.1-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • libmongocrypt Debian:13

    Versions du logiciel
    • 1.13.2-1
    • 1.13.2-1+deb13u1
    • 1.16.0-1
    • 1.17.0-1
    • 1.17.3-1
    • 1.18.1-1
    • 1.18.2-1
    • 1.19.0-1
    • 1.19.1-1
    • 1.20.0-1
    • 1.20.1-1
    • 1.20.2-1
    • 1.20.3-1
    • 1.20.4-1
    • 1.20.5-1
    • 1.21.0-1
    • 1.21.1-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • libmongocrypt Debian:14

    Versions du logiciel
    • 1.13.2-1
    • 1.16.0-1
    • 1.17.0-1
    • 1.17.3-1
    • 1.18.1-1
    • 1.18.2-1
    • 1.19.0-1
    • 1.19.1-1
    • 1.20.0-1
    • 1.20.1-1
    • 1.20.2-1
    • 1.20.3-1
    • 1.20.4-1
    • 1.20.5-1
    • 1.21.0-1
    Plages de versions concernées
    • ECOSYSTEM: < 1.21.1-1

    Mettez à jour vers 1.21.1-1

  • libmongocrypt Ubuntu:22.04:LTS

    Versions du logiciel
    • 1.2.1-1
    • 1.2.2-1
    • 1.3.0-1
    • 1.3.0-1ubuntu1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • libmongocrypt Ubuntu:24.04:LTS

    Versions du logiciel
    • 1.7.2-1
    • 1.8.2-1
    • 1.8.4-1
    • 1.8.4-1build2
    • 1.8.4-1build3
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • libmongocrypt Ubuntu:26.10

    Versions du logiciel
    • 1.17.0-1
    • 1.19.0-1
    • 1.19.1-1
    • 1.20.0-1
    • 1.20.1-1build1
    • 1.20.2-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • libmongocrypt Ubuntu:26.04:LTS

    Versions du logiciel
    • 1.13.2-1
    • 1.17.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →