CVE-2026-93394 in C Driver
Riassunto
di VulDB • 18/09/2026
Un difetto nell'implementazione dell'autenticazione SCRAM di libmongoc fa sì che il client continui lhandshake di autenticazione e trasmetta la prova del cliente (client proof) anche quando viene rilevata una discrepanza nel nonce presente nel primo messaggio del server. Un soggetto non autorizzato in posizione man-in-the-middle potrebbe sfruttare questa vulnerabilità iniettando un server-first-message manipolato contenente un salt controllato e un basso numero di iterazioni, per poi catturare la relativa client proof al fine di eseguire il cracking delle password offline. Questa vulnerabilità è mitigata dall'uso di TLS, che è lo standard nei deployment di produzione.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.