Impatto Sistemico

Critico (77.17)

Sintesi

Disponibili Proof of Concept per diverse vulnerabilità, già sanate dal vendor, presenti nella componente C# Driver di MongoDB. Tali vulnerabilità, qualora sfruttate, potrebbero consentire a un utente malevolo di accedere a informazioni sensibili, manipolare i dati, compromettere la disponibilità del servizio o impersonare entità legittime sui sistemi interessati.

Tipologia

• Denial of Service
• Data Manipulation
• Tampering
• Information Disclosure
• Spoofing

Descrizione e potenziali impatti

La vulnerabilità identificata dalla CVE-2026-114646 – di tipo “Improper Handling of Length Parameter Inconsistency” e con score CVSS v4.0 pari a 6.9 – è dovuta a una verifica non adeguata della corrispondenza tra la lunghezza dichiarata e quella effettiva dei dati BSON elaborati dal MongoDB C# Driver. Un attaccante remoto non autenticato, qualora possa fornire dati BSON binari a un’applicazione vulnerabile, potrebbe alterare il prefisso di lunghezza per inserire o rimuovere elementi dai comandi inviati al database, con conseguenti accessi non autorizzati, modifiche o corruzione dei dati nei limiti dei privilegi dell’applicazione.

La vulnerabilità identificata dalla CVE-2026-114644 – di tipo “Allocation of Resources Without Limits or Throttling” e con score CVSS v4.0 pari a 8.2 – è dovuta alla memorizzazione permanente e senza limiti dei simboli BSON o JSON deserializzati dal MongoDB C# Driver. Un attaccante remoto non autenticato potrebbe inviare un elevato numero di simboli distinti, provocando una crescita irreversibile della memoria utilizzata dal processo e, a seguito del suo esaurimento, l’indisponibilità dell’applicazione.

La vulnerabilità identificata dalla CVE-2026-114654 – di tipo “Incorrect Conversion between Numeric Types” e con score CVSS v4.0 pari a 6.9 – è dovuta al troncamento dei valori numerici superiori a 255 utilizzati come sottotipo dei dati binari BSON nel MongoDB C# Driver. Un attaccante remoto non autenticato, tramite contenuti JSON opportunamente predisposti, potrebbe aggirare i controlli sul sottotipo e causare la memorizzazione di dati binari malformati, con conseguente corruzione o illeggibilità dei dati interessati.

La vulnerabilità identificata dalla CVE-2026-114652 – di tipo “Improper Neutralization of Special Elements in Data Query Logic” e con score CVSS v3.1 pari a 6.5 – è dovuta alla generazione di operatori di aggiornamento differenti quando i metodi PullAll , PushEach e AddToSetEach del MongoDB C# Driver ricevono una lista contenente un solo elemento. Un attaccante remoto con privilegi applicativi limitati potrebbe fornire dati opportunamente predisposti, provocando la rimozione, l’alterazione o il troncamento non autorizzato degli elementi di un array.

La vulnerabilità identificata dalla CVE-2026-114651 – di tipo “Use of Uninitialized Resource” e con score CVSS v4.0 pari a 6.3 – è dovuta alla lettura oltre i limiti logici di un buffer riutilizzato durante la deserializzazione BSON nel MongoDB C# Driver. Un attaccante remoto non autenticato, tramite array BSON opportunamente predisposti, potrebbe accedere ad aree di memoria elaborate in precedenza sullo stesso thread, con possibile esposizione informazioni riservate.

La vulnerabilità identificata dalla CVE-2026-114653 – di tipo “Incorrect Regular Expression” e con score CVSS v4.0 pari a 7.1 – è dovuta al mancato escaping dei nomi dei campi utilizzati come espressioni regolari negli schemi CSFLE del MongoDB C# Driver. Un utente malintenzionato, attraverso nomi contenenti metacaratteri opportunamente predisposti, potrebbe alterare i meccanismi per la cifratura e i dati potrebbero essere memorizzati in chiaro senza generare errori, con conseguente esposizione di informazioni sensibili.

La vulnerabilità identificata dalla CVE-2026-114643 – di tipo “Use of Multiple Resources with Duplicate Identifier” e con score CVSS v4.0 pari a 5.3 – è dovuta alla mancata verifica delle collisioni tra i membri GeoJSON aggiuntivi e i campi riservati, quali type e coordinates , nel MongoDB C# Driver. Un attaccante in grado di controllare i nomi dei membri potrebbe creare campi duplicati, provocando interpretazioni discordanti della geometria, risultati geospaziali errati o dati illeggibili.

La vulnerabilità identificata dalla CVE-2026-114650 – di tipo “Inappropriate Encoding for Output Context” e con score CVSS v4.0 pari a 6.9 – è dovuta alla conversione non corretta dei nomi di database contenenti caratteri non ASCII nella code page ANSI dei sistemi Windows. In configurazioni che utilizzano mongocryptd e una schemaMap lato client, un utente malintenzionato potrebbe sfruttare tale condizione e impedire al MongoDB C# Driver di applicare la cifratura prevista, causando la memorizzazione in chiaro di dati sensibili.

La vulnerabilità identificata dalla CVE-2026-114648 – di tipo “Improper Neutralization of Special Elements in Data Query Logic” e con score CVSS v4.0 pari a 7.2 – è dovuta alla mancata neutralizzazione dei caratteri . e $ nei nomi di campo e nelle chiavi dinamiche gestite dal provider LINQ3 del MongoDB C# Driver. Un attaccante, sfruttando chiavi opportunamente predisposte, potrebbe modificare il percorso di filtri o aggiornamenti, manipolando dati su campi, documenti o elementi di array differenti da quelli previsti dall’applicazione.

La vulnerabilità identificata dalla CVE-2026-114649 – di tipo “Comparison Using Wrong Factors” e con score CVSS v4.0 pari a 7.6 – è dovuta al confronto dei certificati X.509 basato esclusivamente su issuer e numero seriale nel MongoDB C# Driver. Un attaccante in grado di eseguire codice nello stesso processo di un altro utente potrebbe utilizzare un certificato con gli stessi valori e sfruttare il connection pool condiviso per effettuare operazioni sul database con l’identità e i privilegi dell’utente.

La vulnerabilità identificata dalla CVE-2026-114647 – di tipo “Improper Neutralization of Special Elements in Data Query Logic” e con score CVSS v4.0 pari a 5.3 – è dovuta alla mancata validazione dei dati passati ai metodi FindOneAndReplace e FindOneAndReplaceAsync del MongoDB C# Driver. Un attaccante, con dati opportunamente predisposti, potrebbe utilizzare operatori quali $set o $unset per aggiungere, modificare o rimuovere campi dei dati selezionati, inclusi eventuali attributi privilegiati.

Prodotti e/o versioni affette

MongoDB C# Driver, dalla versione 2.0.0 alla versione 3.12.0

Azioni di mitigazione

In linea con le dichiarazioni del vendor, si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni del relativo bollettino di sicurezza riportato nella sezione Riferimenti.