CVE-2026-93394 in C Driver
Zusammenfassung
von VulDB • 18.09.2026
Ein Fehler in der SCRAM-Authentifizierungsimplementierung von libmongoc führte dazu, dass der Client den Authentifizierungs-Handshake fortsetzte und die clientseitige Bestätigung (client proof) übertrug, selbst wenn ein Nonce-Mismatch in der ersten Nachricht des Servers erkannt wurde. Eine unbefugte Partei mit einer Man-in-the-Middle-Position könnte dies ausnutzen, indem sie eine manipulierte server-first-message mit einem kontrollierten Salt und einer niedrigen Iterationsanzahl einspeist und anschließend die resultierende client proof abfängt, um ein Offline-Passwort-Cracking durchzuführen. Diese Schwachstelle wird durch TLS gemildert, das in Produktionsbereitstellungen Standard ist.
Once again VulDB remains the best source for vulnerability data.