#43622
Nicolas Coolman
Maître des clés

Avis de sécurité MongoDB du 12 janvier 2024.

Selon le CERT, une vulnérabilité CVE-2023-0437 a été découverte dans MongoDB C-Driver. Elle permet à un attaquant de provoquer un déni de service à distance.

CVE-2023-0437, Le client MongoDB C-Driver peut boucler à l’infini lors de la validation de certaines données d’entrée BSON. Lors de l’appel  de bson_utf8_validate  sur certaines entrées, une boucle avec une condition de sortie qui ne peut pas être atteinte peut se produire, c’est-à-dire une boucle infinie. Ce problème affecte toutes les versions de MongoDB C-Driver antérieures aux versions 1.25.0. toutes les versions de MongoDB C-Driver antérieures aux versions 1.25.0


Le déni de service (DDoS) est une attaque malveillante visant à rendre un service indisponible pour les utilisateurs légitimes en submergeant le serveur ciblé avec un grand volume de trafic. Les attaquants exploitent souvent des réseaux de machines infectées par des logiciels malveillants, appelées botnets, pour coordonner ces attaques massives. Les conséquences du DDoS peuvent être graves, allant de la perturbation temporaire des services en ligne à des dommages financiers considérables pour les entreprises.

Pour se protéger contre de telles attaques par déni de service, les organisations doivent mettre en œuvre des solutions de détection et de mitigation efficaces ainsi que des plans de réponse aux incidents. Ce mode d'attaque est largement utilisé par les pirates via des failles de sécurité de catégorie "Zero Day" ou l'absence de mises à jour automatiques.


MongoDB (venant du terme « humongous » = « énorme ») est la première base de données, permettant aux sociétés d'être plus rapides et évolutives. Les entreprises de toutes tailles utilisent MongoDB pour créer de nouveaux types d'applications, améliorer la façon de travailler avec ses clients, accélérer les temps de mise sur le marché et faire baisser les coûts.


Les CERT (Computer Emergency Response Teams) sont des centres d'alerte et de réaction aux attaques informatiques, destinés aux entreprises ou aux administrations, mais dont les informations sont généralement accessibles à tous. Les tâches prioritaires d'un CERT sont multiples. La centralisation des demandes d'assistance à la suite des incidents de sécurité sur les réseaux et les systèmes d'informations. Le traitement des alertes et réaction aux attaques informatiques. L'établissement et maintenance d'une base de donnée des vulnérabilités. La Prévention par diffusion d'informations. La coordination éventuelle avec les autres entités.

Retour en haut