MongoDB: correcciones para Go Driver y libmongocrypt (AV26-1024)

El Canadian Centre for Cyber Security publicó el 9 de octubre de 2026 el aviso AV26-1024, dedicado a dos componentes de MongoDB que funcionan dentro de las aplicaciones: el driver oficial para Go y libmongocrypt, la biblioteca que gestiona el cifrado del lado del cliente. Por ahora el aviso es la única fuente disponible sobre la noticia y es muy escueto: no incluye identificadores CVE, puntuaciones de gravedad ni informes de explotación. A continuación encontrarás qué dice, qué no dice y cómo comprobar si tus aplicaciones están afectadas.

Qué ha pasado

Según el aviso canadiense, a fecha de 8 de octubre de 2026 MongoDB está afectado por vulnerabilidades en estos productos:

• Go Driver: el aviso indica las versiones anteriores a 2.9.0 y anteriores a 2.9.2, sin explicar a qué se refiere cada uno de los dos umbrales;
• libmongocrypt: versiones anteriores a 1.20.5.

El Cyber Centre invita a usuarios y administradores a revisar los enlaces del aviso y a aplicar las actualizaciones necesarias. Los enlaces llevan a la página de alertas de seguridad de MongoDB y a tres correcciones, cuyos títulos son el único detalle técnico disponible.

Detalles técnicos

Go Driver: controles sobre las longitudes BSON

Dos de las correcciones citadas afectan a la forma en que el driver para Go lee los documentos BSON, el formato binario con el que MongoDB intercambia los datos:

• «Reject int32 length overflow in bsoncore.valueLength»: el driver debe rechazar los valores cuya longitud, escrita como entero de 32 bits, se desborda (overflow). La función pertenece a bsoncore, el paquete que dentro del driver lee los documentos BSON a bajo nivel;
• «Reject BSON lengths below the 5-byte minimum before slicing»: el driver debe rechazar las longitudes inferiores a 5 bytes antes de recortar los datos. En el formato BSON cada documento empieza con su propia longitud en 4 bytes y termina con un byte nulo, así que 5 bytes es el tamaño mínimo posible.

En ambos casos se trata de validación de la entrada sobre datos binarios: un documento malformado, con longitudes incoherentes, no se descartaba antes de procesarlo. El aviso no dice qué consecuencias tiene este error ni en qué escenarios un atacante podría hacer llegar al driver un documento manipulado. En general, en Go un control ausente antes de una operación de recorte puede provocar un error en tiempo de ejecución (panic) y la parada del proceso, si el error no se gestiona; es solo una indicación general, no confirmada por la fuente para este caso.

libmongocrypt: campo masterKey duplicado

La tercera corrección, «Duplicate masterKey field re-parses into the same KEK», afecta a libmongocrypt. En el cifrado del lado del cliente de MongoDB (Client-Side Field Level Encryption y Queryable Encryption) los datos se cifran con claves dedicadas, protegidas a su vez por una clave principal custodiada en un servicio de gestión de claves (KMS): es la KEK, key encryption key. El campo masterKey indica qué clave principal usar y aparece tanto en las opciones de creación de las claves como en los documentos de la colección que las guarda (key vault).

Según el título, un documento con el campo masterKey repetido se analizaba de nuevo en la misma estructura de la KEK. El aviso no explica el efecto: no sabemos si el problema provoca errores de memoria, la elección de una clave equivocada u otra cosa.

El driver para Go usa libmongocrypt cuando se compila con soporte para el cifrado del lado del cliente: por eso los dos componentes del aviso pueden estar en la misma aplicación.

Qué no dice el aviso

Conviene tenerlo en cuenta antes de fijar prioridades:

• ningún CVE y ninguna puntuación CVSS;
• ninguna noticia de explotación en curso ni de código de prueba de concepto público;
• ningún indicador de compromiso;
• nada sobre la rama 1.x del driver para Go: todas las versiones citadas son de la rama 2.x.

Para los detalles, el aviso remite a la página de alertas de seguridad de MongoDB, que conviene revisar por si se publican más adelante identificadores y valoraciones de gravedad.

Impacto para las empresas europeas e italianas

El driver para Go y libmongocrypt no son servicios expuestos en red, sino dependencias compiladas o cargadas por las aplicaciones: microservicios internos, API, herramientas de integración, software de terceros. Por eso el riesgo se gestiona desde el lado del desarrollo y de la cadena de suministro del software, no solo desde el de los servidores.

Para las entidades sujetas a NIS2, la gestión de vulnerabilidades y la seguridad de la cadena de suministro forman parte de las medidas de seguridad exigidas: saber qué aplicaciones incluyen estos componentes, y en qué versión, es parte de ese trabajo. Si usas el cifrado del lado del cliente de MongoDB para proteger datos sensibles, como datos sanitarios o financieros, da prioridad a la actualización de libmongocrypt.

Qué hacer ahora

1. Haz inventario. En los proyectos Go busca el módulo go.mongodb.org/mongo-driver/v2 (por ejemplo con go list -m all) y anota la versión. Recuerda que en los binarios Go las dependencias van dentro del ejecutable: un inventario de los paquetes del sistema no las ve.
2. Actualiza el Go Driver a 2.9.2 o posterior. Como el aviso indica dos umbrales sin explicarlos, 2.9.2 es la opción prudente. Recompila y vuelve a desplegar las aplicaciones, incluidas las imágenes de contenedor.
3. Actualiza libmongocrypt a 1.20.5 o posterior. Puede estar instalada como paquete del sistema operativo o llegar junto con el paquete de cifrado del driver de otro lenguaje: revisa ambas vías.
4. Pregunta a tus proveedores de software si sus productos incluyen estos componentes y cuándo los actualizarán.
5. Limita quién puede escribir en la key vault del cifrado del lado del cliente: es una buena práctica en cualquier caso, y el campo masterKey afectado por la corrección también está en esos documentos.
6. Vigila las paradas anómalas de las aplicaciones que usan el driver y sigue la página de alertas de seguridad de MongoDB por si se publican CVE más adelante.

Cómo ayuda ARXDOME

ARX Sentry recoge de ordenadores y servidores el inventario de software, procesos y puertos, útil para encontrar dónde está instalada libmongocrypt como paquete del sistema y qué servicios funcionan en cada máquina. ARX Shield muestra las vulnerabilidades abiertas por máquina y por paquete, cuando están registradas con un identificador público.

Última actualización: 9 de octubre de 2026