MongoDB Node.js Driverの脆弱性で他ユーザーのデータが漏えいするおそれ
Summary
MongoDB Node.js Driverの接続管理に脆弱性があり、操作タイムアウトの後に接続プールで応答が取り違えられると、他ユーザーのレコードが漏えいするおそれがあります。影響するのは6.11.0以上6.22.0未満と、7.0.0以上7.8.0未満です。6.22.0または7.8.0以降に更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
MongoDB Node.js Driverの接続管理に脆弱性があり、操作タイムアウトの後に接続プールで応答が取り違えられると、他ユーザーのレコードが漏えいするおそれがあります。影響するのは6.11.0以上6.22.0未満と、7.0.0以上7.8.0未満です。6.22.0または7.8.0以降に更新してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| MongoDBNode.js Driver |
≥ 6.11.0, < 6.22.0→ 6.22.0 ≥ 7.0.0, < 7.8.0→ 7.8.0 |
6.22.0 7.8.0 |
Original description The description as published by the source.
A flaw in the connection management layer of the MongoDB Node.js driver can leave a pooled network connection in the pool for reuse while data from an earlier operation is still outstanding on it. In applications that enable an optional client-side operation timeout, an unauthenticated party that can send ordinary requests to the application may cause database replies to be paired with the wrong requests. This may result in unintended disclosure of other users' records, incorrect operation results being returned, and failures of legitimate requests.
Source: CVE.org (CVE Program・cvelistV5) NVD
References
- REDHAT Red Hat
- web cna@mongodb.com