MongoDB Server: Ressourcenleck im Windows-Kerberos-Authentifizierungshandler
Zusammenfassung
MongoDB-Server-Builds für Windows Enterprise mit Kerberos-Authentifizierung (GSSAPI/SSPI) geben beim Verarbeiten der Authentifizierung ein Windows-Credential-Handle nicht frei. Ein nicht authentifizierter Angreifer, der den MongoDB-Port erreichen kann, kann Kerberos-Authentifizierungsanfragen so lange wiederholen, bis dem Prozess die Handles ausgehen. Danach schlagen alle weiteren Kerberos-Anmeldungen fehl, bis der Server neu gestartet wird. Die Auswirkung beschränkt sich auf die Verfügbarkeit; es werden keine Daten offengelegt.
Betroffen
- MongoDB Server 9.0.0 vor 9.0.7
- MongoDB Server 8.3.0 vor 8.3.16
- MongoDB Server 8.0.0 vor 8.0.37
- MongoDB Server 7.0.0 vor 7.0.48
- Die Standardkonfiguration ist nicht betroffen.
- Nur Windows-Enterprise-Builds mit Kerberos/SSPI-Authentifizierung sind betroffen.
Behoben in
- Auf MongoDB Server 9.0.7, 8.3.16, 8.0.37 oder 7.0.48 (oder neuer innerhalb des gleichen Zweigs) aktualisieren.
- Die Versionen 7.1, 6.0 und 5.0 sind nicht als betroffen aufgeführt; deren Status ist nicht bestätigt.
Umgehung
- Kein Workaround des Herstellers bekannt.
- Den Netzwerkzugriff auf den MongoDB-Port auf bekannte Applikationsserver beschränken.
- Kerberos-Authentifizierung nur dort verwenden, wo sie erforderlich ist.
Ausnutzung
- Zum Zeitpunkt der Erstellung ist keine Ausnutzung in freier Wildbahn bekannt.
- Kein öffentlicher Proof of Concept bekannt.
- Nicht im CISA-KEV-Katalog aufgeführt.
Unsere Empfehlung
- Prüfen, ob MongoDB-Server-Instanzen auf Windows-Enterprise-Builds mit aktiviertem Kerberos laufen.
- Die Aktualisierung auf die korrigierten Versionen planen und die Details im MongoDB-Jira-Ticket SERVER-130268 bestätigen.
- Sicherstellen, dass der MongoDB-Port nicht aus dem Internet erreichbar ist, und den Zugriff auf benötigte Clients beschränken.
- Auf Kerberos-Anmeldefehler überwachen und einen Neustart des Servers vorbereiten, falls diese auftreten.
- Den NVD-Eintrag und das Herstellerticket in einigen Tagen auf aktualisierte Informationen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-120804 www.cve.org
- MongoDB Jira ticket SERVER-130268 jira.mongodb.org
- Strix CVE-2026-120804 (secondary) www.strix.ai
- MongoDB Enterprise Kerberos (GSSAPI/SSPI) authentication documentation www.mongodb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.