Jeffrey Yemin

**Nome do software vulnerável e versões afetadas: Driver MongoDB C#, versões 2.12.0 a 2.12.1 Descrição: O Driver MongoDB C# pode publicar erroneamente eventos contendo dados relacionados à autenticação para um ouvinte de comandos configurado por um aplicativo. Os eventos publicados podem conter dados sensíveis à segurança quando comandos como “saslStart”, “saslContinue”, “isMaster”, “createUser” e “updateUser” são executados. Sem o devido cuidado, um aplicativo pode inadvertidamente expor essas informações relacionadas à autenticação, por exemplo, gravando-as em um arquivo de log. Esse problema só ocorre se um aplicativo habilitar o recurso de ouvinte de comandos, que não está habilitado por padrão. Recomendações: Para as versões 2.12.0 a 2.12.1 do MongoDB C# Driver, considere desativar o recurso de ouvinte de comandos para evitar a exposição de dados relacionados à autenticação até que um patch esteja disponível. Como solução alternativa temporária, restrinja o acesso ao ouvinte de comandos para minimizar o risco de exploração. Evite gravar dados confidenciais em arquivos de log.

**Nome do software vulnerável e versões afetadas: Versões do driver Java que suportam criptografia no nível do campo no lado do cliente (CSFLE) Descrição: O problema decorre da falha do driver Java em realizar a verificação correta do nome do host no certificado do servidor KMS, o que, em combinação com um ataque MITM ativo a partir de uma posição privilegiada na rede, poderia resultar na interceptação do tráfego entre o driver Java e o serviço KMS. Isso torna a criptografia no nível do campo ineficaz. Os drivers Java async, Scala e reactive streams não são afetados. Além disso, este problema não afeta cargas de tráfego de drivers com serviços de chave compatíveis com CSFLE originados de aplicativos dentro das estruturas de rede AWS, GCP e Azure, devido aos controles existentes nesses ambientes. Ele também não afeta cargas de trabalho de drivers que não utilizam a criptografia em nível de campo. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.