MongoDB Server: Use-after-free in der Replikation ohne Authentifizierung
Zusammenfassung
Ein Use-after-free in der Replikationskomponente von MongoDB Server kann ausgelöst werden, wenn ein neu gewählter Replica-Set-Primary den Catch-up abschliesst. Anfragen ohne Authentifizierung können dazu führen, dass der Server unerwartet abbricht oder unter bestimmten Bedingungen beliebigen Code im Prozess des Servers ausführt. Betroffen sind nur Replica-Set-Mitglieder, einschliesslich Shard- und Config-Server-Mitglieder; eigenständige mongod-Instanzen sind nicht betroffen.
Betroffen
- MongoDB Server 9.0.0 bis vor 9.0.7
- MongoDB Server 8.3.0 bis vor 8.3.16
- MongoDB Server 8.0.0 bis vor 8.0.37
- MongoDB Server 7.0.0 bis vor 7.0.48
- MongoDB Server 6.0.0 bis vor 6.0.30
- MongoDB Server 5.0.0 bis vor 5.0.35
- MongoDB Server 4.4.0 bis vor 4.4.32
- Nur Replica-Set-Mitglieder (einschliesslich Shard- und Config-Server); eigenständige mongod-Instanzen sind nicht betroffen
Behoben in
- 9.0.7, 8.3.16, 8.0.37, 7.0.48, 6.0.30, 5.0.35, 4.4.32 (Fix-Versionen laut den MongoDB-Jira-Tickets)
- Die Verfügbarkeit der Versionen und das offizielle Sicherheitsadvisory von MongoDB wurden nicht bestätigt; vor dem Patchen prüfen
Umgehung
- Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden.
- Netzwerkzugriff auf mongod-Ports auf Applikationsserver und Replica-Set-Mitglieder beschränken und die Ports nicht dem Internet aussetzen.
Ausnutzung
- Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- Ein Aggregator meldet, dass die Schwachstelle nicht im CISA-KEV-Katalog aufgeführt ist.
Unsere Empfehlung
- MongoDB-Instanzen identifizieren und Replica-Set-Mitglieder von eigenständigen Instanzen unterscheiden.
- Netzwerkzugriff auf Datenbank-Ports beschränken und diese niemals dem Internet aussetzen.
- Patch auf die Fix-Version jedes Zweigs planen und sofort einspielen, sobald das MongoDB-Advisory die Versionen bestätigt.
- Replica-Set-Mitglieder auf unerwartete Abstürze oder Neustarts von mongod überwachen.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
googlesky/CVE-2026-118383
Quellen der Recherche
- MongoDB Jira SERVER-138119 jira.mongodb.org
- MongoDB Jira SERVER-138175 jira.mongodb.org
- CVE-2026-118383 details (threatint) cve.threatint.com
- OffSeq radar: CVE-2026-118383 radar.offseq.com
- MongoDB 9.0 release notes www.mongodb.com
- MongoDB 8.0 release notes www.mongodb.com
- endoflife.date: MongoDB support lifecycle endoflife.date
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.