MongoDB Server: Unvollständige Rollenbereinigung in dropAllRolesFromDatabase
Zusammenfassung
Ein Fehler in den Benutzerverwaltungsbefehlen von MongoDB Server hinterlässt beim Löschen von Rollen über dropAllRolesFromDatabase veraltete Rollenverweise in Benutzer- und Rollendokumenten. Wird später eine Rolle mit demselben Namen und anderen Berechtigungen neu erstellt, können bisher verknüpfte Benutzer diese Berechtigungen stillschweigend erben, ohne explizite Zuweisung oder Audit-Ereignis. Die Ausnutzung setzt eine Authentifizierung mit administrativen Datenbankrechten auf der betroffenen Datenbank voraus.
Betroffen
- MongoDB Server 9.0.0 bis vor 9.0.7
- MongoDB Server 8.3.0 bis vor 8.3.16
- MongoDB Server 8.0.0 bis vor 8.0.37
- MongoDB Server 7.0.0 bis vor 7.0.48
- Standardkonfiguration: nicht betroffen
Behoben in
- 9.0.7
- 8.3.16
- 8.0.37
- 7.0.48
Umgehung
Keine vom Hersteller veröffentlichte Workaround-Massnahme. Rechte zur Rollenverwaltung (userAdmin, createRole, dropRole, grantRole) auf einen möglichst kleinen Personenkreis beschränken, bis der Patch eingespielt ist.
Ausnutzung
Keine Hinweise auf aktive Ausnutzung gefunden. Kein öffentlicher Proof of Concept gefunden. Unbekannt.
Unsere Empfehlung
- MongoDB Server im regulären Wartungsfenster auf eine korrigierte Version (9.0.7, 8.3.16, 8.0.37 oder 7.0.48) aktualisieren, bei Internet-Exposition früher.
- Sicherstellen, dass mongod-Instanzen nicht aus dem Internet erreichbar sind.
- Rechte zur Rollenverwaltung einschränken und gemeinsam genutzte Administrationskonten vermeiden.
- Nach dem Löschen und Neuerstellen einer Rolle die zuvor verknüpften Benutzer prüfen und ihre effektiven Berechtigungen verifizieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-120806 www.cve.org
- MongoDB Jira ticket SERVER-130261 jira.mongodb.org
- MongoDB security alerts www.mongodb.com
- Strix CVE-2026-120806 details www.strix.ai
- CVE Threatint CVE-2026-120806 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:28.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.