p PatchFirst

CVE-2019-2386

CVE-2019-2386 · Authorization session conflation

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

After user deletion in MongoDB Server the improper invalidation of authorization sessions allows an authenticated user's session to persist and become conflated with new accounts, if those accounts reuse the names of deleted ones. This issue affects MongoDB Server v4.0 versions prior to 4.0.9; MongoDB Server v3.6 versions prior to 3.6.13 and MongoDB Server v3.4 versions prior to 3.4.22. Workaround: After deleting one or more users, restart any nodes which may have had active user authorization sessions. Refrain from creating user accounts with the same name as previously deleted accounts.

CVSS 7.1 · Высокий · EPSS 1,1% · Есть исправление

Опубликовано
Обновлено

Стек: system

Затронутые продукты и версии

  • mongodb server

    Версии
    • ≥ 4.0, < 4.0.9: Затронуто (custom)
    • ≥ 3.6, < 3.6.13: Затронуто (custom)
    • ≥ 3.4, < 3.4.22: Затронуто (custom)

    Обновитесь до 3.4.22; Обновитесь до 3.6.13; Обновитесь до 4.0.9

  • mongodb Ubuntu:Pro:14.04:LTS

    Версии
    • 1:2.4.6-0ubuntu5
    • 1:2.4.6-0ubuntu6
    • 1:2.4.8-1ubuntu1
    • 1:2.4.8-2
    • 1:2.4.9-1
    • 1:2.4.9-1ubuntu1
    • 1:2.4.9-1ubuntu2
    • 1:2.4.9-1ubuntu2+esm2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • mongodb Ubuntu:Pro:16.04:LTS

    Версии
    • 1:2.6.10-0ubuntu1
    • 1:2.6.10-0ubuntu1+esm2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • mongodb Ubuntu:18.04:LTS

    Версии
    • 1:3.4.7-1
    • 1:3.4.7-1ubuntu1
    • 1:3.4.7-1ubuntu2
    • 1:3.4.7-1ubuntu4
    • 1:3.4.14-3ubuntu1
    • 1:3.4.14-3ubuntu2
    • 1:3.6.3-0ubuntu1
    • 1:3.6.3-0ubuntu1.1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1:3.6.3-0ubuntu1.3

    Обновитесь до 1:3.6.3-0ubuntu1.3

  • mongodb Ubuntu:20.04:LTS

    Версии
    • 1:3.6.9+really3.6.8+90~g8e540c0b6d-0ubuntu2
    • 1:3.6.9+really3.6.8+90~g8e540c0b6d-0ubuntu5
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1:3.6.9+really3.6.8+90~g8e540c0b6d-0ubuntu5.2

    Обновитесь до 1:3.6.9+really3.6.8+90~g8e540c0b6d-0ubuntu5.2

Первоисточники

Проверьте свой сервер →