MongoDB: correzioni per Go Driver e libmongocrypt (AV26-1024)

Il Canadian Centre for Cyber Security ha pubblicato il 9 ottobre 2026 l’avviso AV26-1024, dedicato a due componenti di MongoDB usati dentro le applicazioni: il driver ufficiale per Go e libmongocrypt, la libreria che gestisce la cifratura lato client. L’avviso è al momento l’unica fonte disponibile sulla notizia ed è molto sintetico: non riporta identificativi CVE, punteggi di gravità né segnalazioni di sfruttamento. Di seguito trovi cosa dice, cosa non dice e come verificare se le tue applicazioni sono coinvolte.

Cosa è successo

Secondo l’avviso canadese, alla data dell’8 ottobre 2026 MongoDB risulta interessato da vulnerabilità in questi prodotti:

• Go Driver: l’avviso indica le versioni precedenti alla 2.9.0 e precedenti alla 2.9.2, senza spiegare a cosa si riferisca ciascuna delle due soglie;
• libmongocrypt: versioni precedenti alla 1.20.5.

Il Cyber Centre invita utenti e amministratori a consultare i collegamenti dell’avviso e ad applicare gli aggiornamenti necessari. I collegamenti rimandano alla pagina degli avvisi di sicurezza di MongoDB e a tre correzioni, i cui titoli sono l’unico dettaglio tecnico disponibile.

Dettagli tecnici

Go Driver: controlli sulle lunghezze BSON

Due delle correzioni citate riguardano il modo in cui il driver per Go legge i documenti BSON, il formato binario con cui MongoDB scambia i dati:

• «Reject int32 length overflow in bsoncore.valueLength»: il driver deve rifiutare i valori la cui lunghezza, scritta come intero a 32 bit, va in overflow. La funzione indicata appartiene a bsoncore, il pacchetto che nel driver legge i documenti BSON a basso livello;
• «Reject BSON lengths below the 5-byte minimum before slicing»: il driver deve rifiutare le lunghezze inferiori a 5 byte prima di ritagliare i dati. Nel formato BSON ogni documento comincia con la propria lunghezza su 4 byte e termina con un byte nullo, quindi 5 byte sono il minimo possibile.

In entrambi i casi si tratta di validazione dell’input su dati binari: un documento malformato, con lunghezze incoerenti, non veniva scartato prima dell’elaborazione. L’avviso non dice quali conseguenze abbia questo errore né in quali scenari un attaccante possa far arrivare al driver un documento costruito ad arte. In generale, in Go un controllo mancante prima di un’operazione di ritaglio può causare un errore a runtime (panic) e l’arresto del processo, se l’errore non viene gestito; resta però un’indicazione generale, non confermata dalla fonte per questo caso.

libmongocrypt: campo masterKey duplicato

La terza correzione, «Duplicate masterKey field re-parses into the same KEK», riguarda libmongocrypt. Nella cifratura lato client di MongoDB (Client-Side Field Level Encryption e Queryable Encryption) i dati sono cifrati con chiavi dedicate, a loro volta protette da una chiave principale gestita da un servizio di gestione delle chiavi (KMS): è la KEK, key encryption key. Il campo masterKey indica quale chiave principale usare e compare sia nelle opzioni di creazione delle chiavi sia nei documenti della collezione che le custodisce (key vault).

Dal titolo, un documento con il campo masterKey ripetuto veniva analizzato di nuovo nella stessa struttura della KEK. L’avviso non spiega l’effetto: non sappiamo se il problema porti a errori di memoria, a una scelta sbagliata della chiave o ad altro.

Il driver per Go usa libmongocrypt quando è compilato con il supporto alla cifratura lato client: le due componenti dell’avviso possono quindi trovarsi nella stessa applicazione.

Cosa non dice l’avviso

È bene tenerlo presente prima di decidere le priorità:

• nessun CVE e nessun punteggio CVSS;
• nessuna notizia di sfruttamento in corso né di codice dimostrativo pubblico;
• nessun indicatore di compromissione;
• nessuna indicazione sul ramo 1.x del driver per Go: le versioni citate sono tutte del ramo 2.x.

Per i dettagli, l’avviso rimanda alla pagina degli avvisi di sicurezza di MongoDB, da controllare per eventuali identificativi e valutazioni di gravità pubblicati dopo.

Impatto per le aziende europee e italiane

Il driver per Go e libmongocrypt non sono servizi esposti in rete, ma dipendenze compilate o caricate dalle applicazioni: microservizi interni, API, strumenti di integrazione, software di terzi. Per questo il rischio si gestisce dal lato dello sviluppo e della catena di fornitura del software, non solo dal lato dei server.

Per i soggetti NIS2 la gestione delle vulnerabilità e la sicurezza della catena di approvvigionamento rientrano nelle misure di sicurezza richieste: sapere quali applicazioni includono queste componenti, e in quale versione, fa parte di quel lavoro. Chi usa la cifratura lato client di MongoDB per proteggere dati sensibili, come i dati sanitari o finanziari, dovrebbe dare priorità all’aggiornamento di libmongocrypt.

Cosa fare subito

1. Fai l’inventario. Nei progetti Go cerca il modulo go.mongodb.org/mongo-driver/v2 (per esempio con go list -m all) e annota la versione. Ricorda che nei binari Go le dipendenze sono incluse nell’eseguibile: un inventario dei pacchetti di sistema non le vede.
2. Aggiorna il Go Driver alla 2.9.2 o successiva. Visto che l’avviso indica due soglie senza spiegarle, la 2.9.2 è la scelta prudente. Ricompila e ridistribuisci le applicazioni, comprese le immagini dei container.
3. Aggiorna libmongocrypt alla 1.20.5 o successiva. Può essere installata come pacchetto del sistema operativo oppure arrivare insieme al pacchetto di cifratura del driver di un altro linguaggio: controlla entrambe le strade.
4. Chiedi ai fornitori del software che usi se i loro prodotti includono queste componenti e quando le aggiorneranno.
5. Limita chi può scrivere nella key vault della cifratura lato client: è una buona pratica in ogni caso, e il campo masterKey coinvolto dalla correzione si trova anche in quei documenti.
6. Sorveglia gli arresti anomali delle applicazioni che usano il driver e segui la pagina degli avvisi di MongoDB per eventuali CVE pubblicati in seguito.

Come aiuta ARXDOME

ARX Sentry raccoglie da computer e server l’inventario di software, processi e porte, utile per trovare dove è installata libmongocrypt come pacchetto di sistema e quali servizi girano sulle macchine. ARX Shield mostra le vulnerabilità aperte per macchina e per pacchetto, quando sono registrate con un identificativo pubblico.

Ultimo aggiornamento: 9 ottobre 2026