MongoDB Go Driver: Denial of Service durch fehlende Validierung der BSON-Array-Länge
Zusammenfassung
Der MongoDB Go Driver, eine Bibliothek, die in Go-Anwendungen eingebunden wird, prüft die deklarierte Länge eines vierbytigen BSON-Arrays nicht. Ein nicht authentifizierter Angreifer, der einer betroffenen Anwendung fehlerhafte rohe BSON-Daten übergeben kann, kann einen Laufzeit-Panic auslösen. Dieser Panic kann den ungeschützten Anwendungsprozess beenden und so einen Denial of Service verursachen; Auswirkungen auf die Vertraulichkeit oder Integrität wurden nicht festgestellt.
Betroffen
- MongoDB Go Driver v2.0.0 bis v2.9.1
- MongoDB Go Driver v1.1.0 und neuer gemäss den Release Notes; der genaue betroffene v1-Bereich ist unklar
- Die Standardkonfiguration ist gemäss dem CNA-Eintrag nicht betroffen
Behoben in
- Go Driver v2.9.2 (Fix in PR #2591, GODRIVER-4136)
- Keine bestätigte korrigierte v1-Version; Unbekannt.
Umgehung
- Kein Workaround des Herstellers bekannt.
- Bis ein Update möglich ist, rohe BSON-Daten mit einer deklarierten Länge unter 5 Bytes ablehnen, bevor sie an Validate oder die reader-basierten BSON-Funktionen gelangen. Dies ist eine Empfehlung aus der Recherche, nicht des Herstellers.
- Das Abfangen von Panics im eigenen Code begrenzt die Auswirkungen, behebt den Fehler aber nicht.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden; kein Eintrag im CISA KEV gefunden.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung partiell.
- Kein öffentlicher Proof of Concept für diese CVE gefunden.
Unsere Empfehlung
- Go-Dienste identifizieren, die den Treiber verwenden, und prüfen, ob sie unvertrauenswürdige rohe BSON-Daten an die betroffenen Funktionen übergeben.
- Betroffene v2-Dienste so bald wie möglich auf Go Driver v2.9.2 aktualisieren.
- Verwendung von v1 prüfen und das Advisory von MongoDB beachten, da keine v1-Korrektur bestätigt ist.
- Dienste auf unerwartete Abstürze oder Panics überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MongoDB Jira GODRIVER-4136 jira.mongodb.org
- Go Driver releases github.com
- Go Driver v2.9.2 release github.com
- Go Driver pull request 2591 github.com
- Ubuntu security tracker CVE-2026-107325 ubuntu.com
- VulDB entry 415553 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:50.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.