Desde a versão 4.0 do MongoDB que passou a ser necessário adicionar o parâmetro --tlsAllowInvalidCertificates ao comando de ligação ao MongoDB. Sem este parâmetro dá o seguinte erro:
Failed global initialization: InvalidSSLConfiguration CryptDecodeObjectEx failed to get size of object: ASN1 bad tag value met.
O comando correcto de ligação ao MongoDB é o seguinte:
mongo.exe --host localhost --port 27017 --tls --tlsAllowInvalidCertificates --tlsCAFile "<<caminho MongoDB>>\certs\ca.cacrt" --tlsCertificateKeyFile "<<caminho MongoDB>>\certs\client.pem"