MongoDB libmongocrypt: Heap-Korruption durch doppelte masterKey-Felder
Zusammenfassung
MongoDB libmongocrypt, eine C-Bibliothek für clientseitige Feldverschlüsselung und Queryable Encryption, behandelt providerspezifische Daten beim Aufräumen eines Schlüsseldokuments mit doppelten masterKey-Feldern falsch. Ein authentifizierter Akteur, der Schlüsseltresor-Dokumente ändern kann, oder ein Server, der ein solches Schlüsseldokument zurückgibt, kann im Client-Prozess ungültige Speicherzugriffe und ungültige Freigaben auslösen. Eine erfolgreiche Ausnutzung kann die Anwendung zum Absturz bringen oder den Speicher des Prozesses beschädigen.
Betroffen
- MongoDB libmongocrypt 1.1.0 bis vor 1.20.5 (laut sekundären Aggregatoren; die Herstellerangaben wurden nicht unabhängig bestätigt)
- Versionen vor 1.1.0: Unbekannt.
Behoben in
- Version 1.20.5 (Fix-Version laut MongoDB-Jira-Ticket MONGOCRYPT-964)
- Hinweis: GHSA-7mvq-mg47-m88j (CVE-2026-114655, ein separates Problem) hat gepatchte Versionen 1.21.1 und neuer.
Umgehung
- Keine Workaround-Massnahme vom Hersteller dokumentiert.
- Bis zum Patch: Schreibzugriff auf die Schlüsseltresor-Collection einschränken und prüfen, welchen Hosts oder Servern Ihre Anwendungen vertrauen, Schlüsseldokumente zurückzugeben (Empfehlung, nicht aus einer Herstellerquelle).
Ausnutzung
- Nicht bekannt, dass es ausgenutzt wird. CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- EPSS lag beim letzten Stand bei etwa 0.27%.
- Kein öffentlicher Proof of Concept gefunden. Der Fix-Commit ist öffentlich, daher verrät der Patch den betroffenen Codepfad.
Unsere Empfehlung
- Anwendungen und Treiber identifizieren, die von libmongocrypt abhängen (Lockfiles und Container-Images prüfen).
- Auf libmongocrypt 1.21.1 oder neuer aktualisieren, was diese CVE und CVE-2026-114655 abdeckt.
- Schreibzugriff auf die Schlüsseltresor-Collection einschränken.
- Paketstatus der Distribution prüfen, da Ubuntu und Debian die CVE noch als in Bewertung führen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MongoDB Jira MONGOCRYPT-964 jira.mongodb.org
- libmongocrypt release 1.20.5 github.com
- libmongocrypt fix pull request 1236 github.com
- GHSA-7mvq-mg47-m88j (later advisory, patched 1.21.1) github.com
- MongoDB security alerts www.mongodb.com
- Ubuntu CVE tracker ubuntu.com
- Debian tracker libmongocrypt tracker.debian.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:14.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.