MongoDB C# Driver: Speichererschöpfung bei BSON-Deserialisierung durch Symbol-Interning

Zusammenfassung

Der MongoDB C# Driver (NuGet-Paket MongoDB.Bson) speichert Symbolwerte aus deserialisierten BSON- und JSON-Daten in einer statischen Tabelle, die nie geleert wird. Ein unauthentifizierter Angreifer, der eine .NET-Anwendung zur Deserialisierung manipulierter, nicht vertrauenswürdiger Inhalte mit vielen unterschiedlichen Symbolnamen bringen kann, kann das Speicherwachstum des Prozesses unbegrenzt steigern und so einen Denial of Service auslösen. Betroffen sind nur Host-Anwendungen, die nicht vertrauenswürdige Eingaben mit dem Driver deserialisieren; der MongoDB-Server ist nicht betroffen und es gibt keine Auswirkungen auf Vertraulichkeit oder Integrität.

Betroffen

• MongoDB.Bson (MongoDB C# Driver) ab 2.0.0 bis vor 3.13.0
• Anwendungen, die nicht vertrauenswürdige BSON- oder JSON-Daten deserialisieren, einschliesslich solcher mit BsonDocument, RawBsonDocument oder [BsonExtraElements]-Dictionaries

Behoben in

• MongoDB.Bson auf Version 3.13.0 oder neuer aktualisieren
• Code prüfen, der BsonSymbol-Werte direkt erstellt, und stattdessen BsonSymbol.Create oder die implizite String-Konvertierung verwenden, da BsonSymbolTable nun veraltet ist
• Das Update vor dem Rollout testen, da 3.13.0 Verhaltensänderungen enthält, die nicht abwärtskompatibel sind

Umgehung

Unbekannt. Es ist kein Workaround des Herstellers dokumentiert. Falls ein Update verzögert wird:

• Einschränken, welche Aufrufer BSON oder JSON zur Deserialisierung übergeben können, und nicht vertrauenswürdige Eingaben am Rand abweisen
• Grössenbeschränkungen für Endpunkte festlegen, die BSON oder JSON annehmen
• Speicherlimits für Container setzen und das Speicherwachstum betroffener .NET-Dienste überwachen

Ausnutzung

• Es ist keine Ausnutzung in freier Wildbahn bekannt. Im Rahmen der Recherche wurde kein Eintrag im CISA KEV gefunden; vor dem Schliessen prüfen.
• Ein öffentlicher Proof of Concept wird vom italienischen CSIRT (ACN) und im Sicherheitshinweis des Herstellers aufgeführt.
• Für die Speichererschöpfung werden laut Meldung sehr viele unterschiedliche Symbole benötigt, was die praktische Ausnutzung einschränkt.

Unsere Empfehlung

• .NET-Anwendungen inventarisieren, die MongoDB.Bson verwenden, und jene mit Version unter 3.13.0 identifizieren.
• Öffentlich erreichbare Anwendungen priorisieren, die nicht vertrauenswürdige BSON- oder JSON-Daten deserialisieren.
• Auf MongoDB.Bson 3.13.0 oder neuer aktualisieren, zusammen mit den weiteren Sicherheitskorrekturen dieser Version, und vorher testen.
• Bis zum Update die obenstehenden Workarounds anwenden und den Speicherverbrauch betroffener Dienste überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MongoDB .NET Driver 3.13.0 release notes github.com
• GitHub Security Advisory GHSA-x24v-h3xm-qf9x github.com
• CSHARP-6162 (MongoDB JIRA) jira.mongodb.org
• ACN (Italian CSIRT): MongoDB PoC for multiple vulnerabilities in C# driver www.acn.gov.it
• Vulners: CVE-2026-114644 vulners.com
• OSV: CVE-2026-114644 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:50.